Kunci IPsec yang dikongsi bersama: bait di sebalik rentetan yang anda taip

Dua pentadbir membandingkan rahsia pada skrin, bersetuju ia sepadan, dan terowong masih gagal pengesahan. Rentetan yang mereka bandingkan bukan nilai yang dimasukkan oleh mana-mana hujung ke dalam terbitan kunci. Antara aksara yang anda lihat dan bait yang dicincang oleh protokol terdapat jenis medan, pengekodan teks, editor dan papan keratan, dan mana-mana daripada empat boleh mengubah input tanpa mengubah rupanya. Bandingkan bait dan ketidakseragaman biasanya muncul dalam beberapa saat.

Apa yang pintu gerbang buat dengan rentetan itu

Kunci yang dikongsi bersama tidak dihantar melalui rangkaian dan dibandingkan. Setiap hujung memasukkan salinan tempatannya ke dalam terbitan kunci untuk pertukaran IKE, dan muatan pengesahan yang terhasil sama ada disahkan atau tidak. Reka bentuk itu bermakna kedua-dua salinan mesti sama dari segi bait dan bukan hanya serupa secara visual, dan ia juga bermakna kegagalan dilaporkan pada peringkat pengesahan dan bukan sebagai mesej kata laluan salah.

Jadi soalan berguna tidak pernah «adakah ini kelihatan sama» tetapi «urutan bait tepat apakah yang dicincang oleh setiap pelaksanaan».

Dari mana bait tambahan datang

Baris baharu di hujung ialah punca klasik, dan ia tersembunyi di depan mata kerana kebanyakan editor menambahnya secara tidak kelihatan apabila fail disimpan. Ruang di hadapan atau di hujung yang ditampal dari tetingkap sembang melakukan perkara yang sama, begitu juga tanda petikan pintar yang digantikan dengan petikan lurus oleh pemproses kata. Tiada satu pun daripada itu mengubah perbandingan visual yang dilakukan oleh manusia.

Bandingkan dengan alat yang menunjukkan bait dan bukan glif. printf '%s' "$PSK" | xxd | tail -2 mencetak hujung nilai dalam heksadesimal, di mana 0a atau 20 yang tersesat jelas kelihatan. Lakukan di kedua-dua hujung dan bandingkan kedua-dua hasil cetakan sebelah menyebelah. Lakukan pada bahan ujian yang dijana, bukan pada rahsia pengeluaran yang kemudian anda tinggalkan dalam sejarah shell.

Terkod bukan bermakna tersulit

Eksport konfigurasi sering membawa rahsia dalam pengekodan asas, kadang-kadang dengan pemisah baris setiap enam puluh atau tujuh puluh enam aksara dan kadang-kadang dengan pengisi. Jika satu hujung menjangka bait yang dinyahkod dan anda menampal teks terkod, anda tidak menghantar kata laluan yang berbeza, anda menghantar kata laluan yang jauh lebih panjang diperbuat daripada aksara yang boleh dicetak. Base64 tidak memberikan kerahsiaan sama sekali, dan itulah sebabnya rahsia terkod tidak boleh ditampal ke forum untuk mendapatkan pendapat kedua.

Kamus IPSec Apple ialah contoh berguna bahawa jenis itu penting: ia mendokumentasikan SharedSecret sebagai data untuk kaedah pengesahan rahsia dikongsi dalam muatan L2TP dan Cisco IPsec. Itu ialah sifat tertentu dalam muatan tertentu, bukan medan teks umum yang boleh anda gunakan semula untuk protokol lain yang kebetulan meminta rahsia.

Had yang didakwa milik satu kombinasi

Laporan lama tentang siling tiga puluh dua aksara pada satu klien Apple ialah laporan sebenar tentang satu versi klien, protokol dan bentuk profil. Ia bukan had universal untuk setiap platform Apple, setiap pembekal dan setiap protokol. Semak versi, jenis muatan dan keperluan pintu gerbang bersama-sama, kemudian uji pada susunan yang diluluskan dan bukannya membuat kesimpulan daripada benang. Tulis kombinasi yang diuji ke dalam rekod perubahan, kerana jika tidak orang seterusnya akan memetik benang yang sama dengan keyakinan yang lebih daripada yang wajar.

Jika had benar-benar terpakai, jawapannya ialah reka bentuk kelayakan yang disokong yang sesuai dengannya, bukan versi dipendekkan daripada rahsia yang kuat. Memotong kunci pengeluaran untuk memenuhi had yang diandaikan mengurangkan kekuatannya secara kekal dan menghasilkan sistem yang dokumentasinya tidak lagi sepadan dengan keselamatannya.

Betulkan perwakilan, bukan kekuatan

Apabila pengesahan gagal selepas perwakilan disahkan, baca dasar berkesan pada peringkat pengesahan: kaedah mana yang dirundingkan, identiti rakan mana yang dijangka, dan sama ada pintu gerbang sepadan dengan sambungan yang anda fikirkan. Tekaan yang semakin lemah bukan diagnosis, ia adalah penurunan perlahan dengan tiket sokongan dilampirkan.

Jika kelayakan yang diperlukan tidak dapat memenuhi standard organisasi, ubah reka bentuk kepada yang boleh. Rahsia dikongsi dengan entropi yang mencukupi, dijana sekali, disimpan dalam medan terurus dan tidak pernah diterbitkan, ialah jawapan yang sangat baik; versi yang lebih pendek bukan.