दोन VPN स्तर एकमेकांवर ठेवावेत का? तपासण्यासाठी तीन अटी

VPN मध्ये दुसरा एन्क्रिप्शन स्तर जोडण्यापूर्वी, एका प्रश्नाचे प्रामाणिक उत्तर द्या: दोन्ही स्तरांनी त्यांचे काम केल्यानंतरही निरीक्षकाकडे काय शिल्लक राहते? उत्तर आतील सायफरटेक्स्ट असेल, अपरिवर्तित, तर नेस्टिंगने वेळ विकत घेतला आणि त्याशिवाय काही नाही। पुढे येणारी गोष्ट शिफारस नाही, निर्णयाची प्रक्रिया आहे। तोच आकृती एका तैनातीत वाया गेलेला प्रोसेसर आणि दुसर्‍यात योग्य उत्तर असते, आणि या दोन्हींना केवळ तीन अटी वेगळ्या करतात।

निरीक्षक काय ठेवतो ते लिहा

विरोधक आज जी वस्तू साठवू शकतो ती नोंदवा, आणि नंतर ती काढून टाकण्याचा क्रम जो शेवटी स्पष्ट मजकूर उघड करेल। बाह्य बोगदा सायफरटेक्स्ट तयार करतो; त्याचे संरक्षण संपल्यावर जे राहते ते आतील बोगद्याचे सायफरटेक्स्ट असते, अजूनही सीलबंद। आवरण काढणे म्हणजे डिक्रिप्शन नाही। ते वाक्य नेस्टिंगचे वर्णन करते, आणि ते केवळ तोपर्यंत खरे असते जोपर्यंत आतील किल्ली टिकते। दोन्ही स्तर काहीही सामायिक करताच, काळरेषा एकाच घटनेत कोसळते।

म्हणून उपयुक्त कलाकृती काळरेषा आहे, खोक्यांचे आकृती नाही। प्रत्येक स्तरासाठी अंतिम बिंदू, किल्लीचा मालक, ओळख तपासणी आणि गृहीतक अपयशी होण्याचे अपेक्षित वर्ष लिहा।

स्वतःचा दावा तपासण्याचा व्यावहारिक मार्ग: निरीक्षक सर्व काही नोंदवतो आणि कधीही हार मानत नाही असे गृहीत धरा। त्या गृहीतकाखाली, रचना आवश्यक आयुष्यभर पेलोडचे संरक्षण करते का? उत्तर निरीक्षकाने रहदारी न साठवण्याची निवड करण्यावर अवलंबून असेल, तर रचनेकडे उत्तर नाही।

अट एक: स्तर वेगवेगळ्या ठिकाणी थांबतात का?

दोन्ही स्तर वेगवेगळ्या विश्वास क्षेत्रांमध्ये संपतात तेव्हा नेस्टिंग फायदेशीर ठरते, उदाहरणार्थ पुरवठादाराने व्यवस्थापित IPsec गेटवेसमोर तुमच्याच नेटवर्कमध्ये संपणारा अनुप्रयोग-स्तरीय बोगदा। तेव्हा बाह्य स्तर तोडल्यास केवळ तुमचा होस्ट उघडू शकणारा सायफरटेक्स्ट मिळतो, आणि पुरवठादाराला कोणत्याही क्षणी स्पष्ट मजकूर दिसत नाही। दोन्ही स्तर एकाच गेटवेवर ठेवा आणि तो गुणधर्म नाहीसा होतो। जो खोका फोडतो तो दोन डिक्रिप्शन क्रियांमधली रहदारी वाचतो, आकृती कितीही आवरणे दाखवो।

हे रचनेने नाही, प्रस्थापित स्थितीने तपासा। Linux वर, ip xfrm state प्रत्येक सुरक्षा संबंध आणि त्याचे अंतिम बिंदू सूचीबद्ध करते, जे प्रत्येक स्तर प्रत्यक्षात कुठे थांबतो हे ठरवते।

अट दोन: किल्ली सामग्री खरोखर स्वतंत्र आहे का?

एका प्रमाणपत्रातून, एका पूर्व-सामायिक किल्लीतून किंवा एका विक्रेता लायब्ररीतून बनवलेले दोन स्तर म्हणजे अतिरिक्त पायऱ्यांसह एकच स्तर। तेव्हा एकच गळलेली ओळख दोन्ही उघडते, आणि एकच अंमलबजावणी दोष दोन्ही एकाच वेळी काढून टाकतो। स्वातंत्र्य संरचनेत दिसले पाहिजे, स्लाइडवर दावा केलेला नाही।

इथेच संकरित किल्ली-स्थापना बोगदे रचण्यापेक्षा पुढे जाते। IKEv2 एका वाटाघाटीत अनेक किल्ली-देवघेवी वाहू शकते, त्यामुळे एक शास्त्रीय गट आणि एक उत्तर-क्वांटम KEM दोन्ही एकाच सत्र किल्ल्या पुरवू शकतात, एकमेकांभोवती गुंडाळण्याऐवजी। परिणाम एक सुरक्षा संबंध असतो ज्याच्या किल्ल्या दोन्ही रहस्यांवर अवलंबून असतात, आणि हल्लेखोराला दोन्ही तोडावे लागतात। ही निर्धारित रचनेची दस्तऐवजी बांधणी आहे, जी दोन VPN उत्पादनांची घरगुती रास नाही। strongSwan वर, swanctl --list-sas प्रत्येक SA साठी वाटाघाटी केलेला प्रस्ताव छापते, आणि अशा प्रकारे तुम्ही काय चालले हे पुष्टी करता, तुम्ही काय संरचित केले ते नाही।

अट तीन: डेटा बाह्य गृहीतकापेक्षा जास्त जगतो का?

वीस वर्षे टिकावे लागणाऱ्या स्तराला वीस वर्षांचा युक्तिवाद हवा। आता नोंदवणे आणि नंतर डिक्रिप्ट करणे स्वस्त आहे, आणि म्हणूनच शास्त्रीय बाह्य स्तराला अधिक मजबूत कशाच्यातरी भोवतीचे तात्पुरते आवरण मानता येत नाही।

प्रत्येक किल्ली कधी परत मिळवता येईल असे विचारा, सायफर आज तुटलेले आहे का नाही। पुढच्या दिशेने गुप्तता नसलेली स्थिर किल्ली-देवघेव खाजगी किल्ली पडण्याच्या दिवशी मागे जाऊन अपयशी ठरते। क्षणिक किल्ली-करार केवळ त्या सत्रांसाठी अपयशी ठरतो ज्यांवर हल्लेखोर त्यांच्या जिवंत असताना हल्ला करू शकतो, किंवा अल्गोरिदम स्वतःच कमकुवत होतो तेव्हा। तो फरक ठरवतो की आतील स्तर 2040 मध्ये अजूनही मदत करतो का। तो हे देखील ठरवतो की बाह्य स्तर काहीही बदलतो का, कारण कमकुवत किल्ली-आयुष्य असलेला बाह्य स्तर सहज काळरेषेवरील सर्वात लवकर बिंदू होतो।

उत्तर नाही असल्यास त्याऐवजी काय बांधावे

तीन अटींपैकी कोणतीही अपयशी ठरल्यास, नेस्टिंग सोडून द्या आणि प्रयत्न आयुष्य-आवश्यकता खरोखर वाहणाऱ्या स्तरावर खर्च करा। तुम्ही आधीच चालवत असलेल्या प्रोटोकॉलमध्ये संकरित किल्ली-देवघेव संरचित करा, अंमलबजावणी अद्ययावत ठेवा, आणि ज्या रचनेवर तुम्ही अवलंबून आहात ती लिहून ठेवा। रचना दस्तऐवजात ML-KEM चा उल्लेख करणे हा सुरक्षा गुणधर्म नाही, आणि FIPS 203 किल्ली-एन्कॅप्सुलेशन यंत्रणा परिभाषित करते, तुमचा बोगदा नाही।

जिथे दुसरा स्तर खरोखर आपले स्थान कमावतो, तिथे त्याचे वर्णन पुरावा म्हणून नाही, खोलीतील संरक्षण म्हणून करा। मग रचना पडताळा: कोणता अंतिम बिंदू कोणती किल्ली ठेवतो, प्रत्येक बाजू कोणती ओळख तपासते, आणि कन्सोल प्रवेश असलेला ऑपरेटर काय वाचू शकतो। या तीन प्रश्नांना तोंड देणारी रचना अतिरिक्त प्रोसेसरला पात्र आहे। जी देत नाही ती केवळ आकृती आहे।

बदलाच्या खिडकीपूर्वी सध्याचा SA तक्ता आणि वाटाघाटी केलेले प्रस्ताव नोंदवा, आणि त्यानंतर ते पुन्हा नोंदवून तुलना करा, कारण महत्त्वाचा एकमेव पुरावा म्हणजे उपकरणे प्रत्यक्षात कशावर सहमत झाली।