Penyulitan menyembunyikan data; pengesahan menamakan rakan
Penyulitan melindungi kandungan, pengesahan rakan menamakan pelayan, dan kebenaran menentukan apa yang boleh dibuka oleh identiti. Tanya ketiga-tiganya dalam reka bentuk VPN.
Penyulitan tanpa pemeriksaan rakan boleh menyampaikan perbualan sulit kepada pihak yang salah. Pengesahan tanpa kebenaran membuktikan siapa yang menyertai, tetapi bukan apa yang boleh dibukanya. Itu tiga kawalan berasingan, dan ulasan VPN yang hanya bertanya tentang sifer menjawab salah satunya. Susun soalan sebelum membuka mana-mana halaman tetapan.
Empat soalan sebelum menyebutnya selamat
Empat soalan membingkai ulasan: apa yang boleh dibaca oleh pemerhati, pelayan mana yang menjawab, siapa yang menyertai, dan apa yang boleh digunakan oleh identiti itu. Penyulitan menjawab yang pertama, pengesahan rakan yang kedua, pengesahan pengguna atau peranti yang ketiga, dan kebenaran yang terakhir. Nama sifer atau log masuk yang berjaya hanyalah jawapan separa.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Reka bentuk yang membiarkan satu baris tidak ditangani tidak menjadi selamat dengan mengukuhkan baris lain. Kawalan itu saling melengkapi, bukan boleh ditukar ganti.
Pengesahan rakan bukan log masuk
Klien mengesahkan bahawa pelayan ialah yang dimaksudkan, menggunakan sijil yang dikonfigurasikan, kunci awam atau mekanisme lain yang disokong. Pihak berkuasa sijil yang dipercayai tidak menjadikan setiap sijil yang pernah dikeluarkannya pelayan yang betul, jadi pemeriksaan identiti masih penting. Menaip kata laluan yang sah di titik akhir yang belum disahkan tidak menjadikan titik akhir itu boleh dipercayai. Kata laluan hanya membuktikan bahawa anda sanggup mengesahkan diri kepada sesiapa yang menjawab.
WireGuard menunjukkan idea yang sama dengan peralatan berbeza: kunci rakan yang dikonfigurasikan melakukan pemeriksaan identiti tanpa gesaan sijil gaya pelayar. Rahsia bersama yang diketahui ramai pengguna lebih menandakan kumpulan daripada seorang individu, sebab itu kelayakan peranti yang unik sering membawa identiti yang lebih kukuh.
Penyulitan disahkan ialah istilah kriptografi
Penyulitan disahkan bermaksud sifer melindungi kerahsiaan dan mengesan perubahan tanpa kebenaran. Ia tidak bermaksud manusia telah log masuk, dan ia tidak menentukan fail mana yang boleh dibuka oleh akaun. Nama suite sifer menerangkan pembinaan, bukan hubungan antara dua pihak. Integriti paket, identiti rakan dan kebenaran akaun ialah keperluan berkaitan dengan bukti berasingan.
Profil kepercayaan RFC 5280 ialah rujukan untuk laluan sijil dan pemeriksaan identiti apabila penggunaan menggunakan X.509. Membacanya lebih berguna daripada menganggap perkataan disahkan sebagai sinonim bagi selamat.
Baca kegagalan sebelum melemahkan kawalan
Sijil tamat tempoh, jam sistem yang salah dan identiti pelayan yang tidak dijangka masing-masing mempunyai pembetulannya. Akaun yang ditolak mempunyai yang lain. Jika pelayan berubah secara sah, dapatkan bahan kepercayaan terkini daripada pengendali yang disahkan. Mengeluarkan pemeriksaan identiti supaya terowong bersambung menukar kegagalan yang kelihatan dengan yang tidak kelihatan.
Lindungi kelayakan yang menjadi sandaran terowong. Profil boleh menyimpan kunci peribadi, dan kata laluan yang disimpan boleh memberi akses jauh. Apabila satu bocor, gunakan proses pengurusan akaun atau kunci perkhidmatan, kerana memilih negara lain dalam direktori klien tidak membatalkan identiti lama.