IPsec, OpenVPN आणि WireGuard मध्ये आधीच सामायिक केलेली किल्ली काय करते

आधीच सामायिक केलेली किल्ली हे शब्द IPsec, OpenVPN आणि WireGuard च्या दस्तऐवजांत येतात, पण तीन वेगळ्या वस्तू दर्शवतात। एक प्रमाणीकरणाचे रहस्य आहे, दुसरे नियंत्रण चॅनेलचे संरक्षण करते, आणि तिसरे आधीच ओळख असलेल्या हात मिळवणीत सामग्री जोडते। हे परस्पर बदलण्यायोग्य मानल्यास असे कनेक्शन तयार होते जे कोणीही अपेक्षा न केलेल्या टप्प्यावर अयशस्वी होते। मूल्य त्यात कॉपी करण्यापूर्वी त्या प्रोटोकॉलमध्ये हे क्षेत्र काय करते ते वाचा।

तीन प्रोटोकॉल, तीन अर्थ

प्रत्येक प्रोटोकॉल किल्लीचे कार्य आपल्या तपशिलात ठरवतो आणि ही कार्ये एकमेकांवर चढत नाहीत। प्रमाणीकरणाचे रहस्य सिद्ध करते की दोन पक्षांना एकच मूल्य माहीत आहे। नियंत्रण चॅनेलची किल्ली त्यानंतरच्या वाटाघाटीचे संरक्षण करते। हात मिळवणीतील अतिरिक्त भाग किल्ली-वेळापत्रक बदलतो, पण पक्ष कोण आहेत हे बदलत नाही।

यापैकी कोणतीही भूमिका माणसाचे प्रमाणीकरण करत नाही, आणि सर्वाधिक वेळ हाच गोंधळ घेतो। आधीच सामायिक केलेली किल्ली देवाणघेवाणीपूर्वी उपकरणांवर किंवा गेटवेवर ठेवली जाते, म्हणून प्रत्येक धारक दुसऱ्या बाजूला सारखाच दिसतो। हा गुणधर्म दोन राउटरांमधील दुव्यासाठी फायदा आहे आणि नामनिर्देशित कर्मचारी असलेल्या दूरस्थ प्रवेश सेवेसाठी जोखीम। खात्याचे क्रेडेन्शियल आणि क्रिप्टोग्राफिक रहस्य तैनातीचे वर्णन करणाऱ्या दस्तऐवजाच्या वेगळ्या स्तंभांत ठेवा।

IPsec आणि OpenVPN हा शब्द वेगळ्या प्रकारे वापरतात

IKEv2 कोणत्याही पक्षाचे प्रमाणीकरण प्रमाणपत्रांऐवजी आधीच सामायिक केलेल्या रहस्याने करू शकतो, आणि मूल्य दोन्ही टोकांना जुळले पाहिजे। तेच रहस्य सहसा पक्षांच्या गटासाठी सेट केले जाते, म्हणून कोणताही धारक इतरांचे रूप धारण करू शकतो, आणि देवाणघेवाणीला कधीही नसलेल्या ओळख किल्ल्यांकडून पुढची गोपनीयता मिळत नाही।

OpenVPN चे tls-auth आणि tls-crypt पर्याय नियंत्रण चॅनेलला स्थिर किल्ली जोडतात, एकतर HMAC स्वाक्षरी वाढवतात किंवा स्वतः वाटाघाटी कूटबद्ध करतात। ती किल्ली वापरकर्ता पासवर्ड नाही आणि क्लायंट प्रमाणपत्राची जागा घेत नाही। दोन्हींतील फरक नूतनीकरणाच्या वेळी महत्त्वाचा असतो, जेव्हा पासवर्ड बदलल्याने नियंत्रण चॅनेलची किल्ली अस्पर्शित राहते।

WireGuard ची PSK वाढवते, ओळख देत नाही

WireGuard च्या पक्षांकडे आधीच Curve25519 च्या सार्वजनिक आणि खाजगी किल्ल्या आहेत आणि हात मिळवणी या ओळखींचे प्रमाणीकरण करते। ऐच्छिक आधीच सामायिक केलेली किल्ली साखळी-किल्लीत मिसळली जाते आणि सार्वजनिक किल्ल्यांच्या देवाणघेवाणीवर सममितीय सामग्री जोडते।

ती स्वतःहून ओळख देत नाही किंवा वापरकर्ता खाते देत नाही, म्हणून ऑपरेटर दोन धारकांना त्यांच्या PSK ने ओळखू शकत नाही। दोन्ही टोकांना एकच मूल्य असले पाहिजे, अन्यथा हात मिळवणी कोणत्याही उपयुक्त त्रुटी संदेशाशिवाय अयशस्वी होते। म्हणून रोटेशनची योजना दोन्ही बाजूंसाठी एकाच वेळी करावी लागते, एक फाइल संपादित करण्याच्या स्वरूपात नाही।

वितरण, रोटेशन आणि काढणे तपासा

वितरण हा एक रहस्य अनेक ठिकाणी वापरणाऱ्या प्रत्येक रचनेचा कमकुवत बिंदू आहे। चॅट विंडोमध्ये चिकटवलेले, भांडारात साठवलेले किंवा वातावरणांदरम्यान पुन्हा वापरलेले मूल्य अशा प्रती जमा करते ज्या कोणीही मोजू शकत नाही, आणि प्रत्येक प्रत शांतपणे नुकसानाचा व्याप्ती वाढवते।

Base64 मजकूर कूटबद्धीकरण नाही। त्याच फोल्डरमध्ये सार्वजनिक प्रमाणपत्राशेजारी ठेवलेले रहस्य अजूनही उघड्या मजकुरातील रहस्य आहे।

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

वेळापत्रकानुसार आणि कोणत्याही संशयास्पद उघडकीनंतर रोटेशन करा, आणि जुने मूल्य रद्द करण्यापूर्वी प्रत्येक इच्छित पक्ष अद्ययावत करा। नंतर दुवा दोन्ही टोकांकडून तपासा, कारण न जुळणारी किल्ली हात मिळवणीत अयशस्वी होते आणि अगदी फायरवॉलच्या समस्येसारखी दिसते।

कोणते रहस्य कोणत्या टप्प्याचे संरक्षण करते हे नोंदवा, जेणेकरून पासवर्ड रीसेट कधीही क्रिप्टोग्राफिक किल्लीच्या नूतनीकरणाशी गोंधळणार नाही। ती एक ओळ प्रत्येक वेळी एक तास वाचवते जेव्हा कोणी तैनातीचा आढावा घेते।