AH jew ESP? Iddeċiedi skont x irid jipproteġi l-pakkett

Żewġ proposti IPsec jistgħu jsemmu l-istess algoritmu tal-integrità bbażat fuq SHA u xorta jitolbu protokolli ta protezzjoni differenti; AH u ESP mhumiex żewġ ortografiji ta issettjar wieħed ta awtentikazzjoni. Aqra l-protokoll l-ewwel, imbagħad l-algoritmi tiegħu, imbagħad il-mod tiegħu, u l-biċċa l-kbira tal-ambigwità tispiċċa. AH tivverifika l-pakkett, inklużi l-oqsma tal-intestatura IP li jibqgħu bla tibdil fit-triq, filwaqt li ESP tivverifika u tikkripta dak li tinkapsula u tħalli l-intestatura ta barra. Dik id-differenza tiddeċiedi aktar implimentazzjonijiet minn kwalunkwe isem ta hash.

X tkopri AH u ESP le

AH tipprovdi integrità, awtentikazzjoni tal-oriġini tad-data u s-servizz kontra t-treġigħ li tiddefinixxi hi stess, u ebda kunfidenzjalità. Il-kopertura tagħha tinkludi d-data tas-saff ta fuq u l-oqsma tal-intestatura IP li r-regoli tagħha jqisu bħala ma jinbidlux, eżattament il-parti li ESP fil-mod tat-trasport tħalli barra. Meta rekwiżit jgħid li l-intestatura IP stess trid tiġi awtentikata, AH hija l-protokoll li twieġeb.

Din il-kopertura hija wkoll ir-raġuni għaliex AH hija fraġli fil-prattika. L-oqsma li jinbidlu bħal TTL, is-somma ta kontroll tal-intestatura u xi għażliet ma jistgħux jiġu awtentikati għax ir-routerers jistgħu jerġgħu jiktbuhom, għalhekk il-protokoll iġġibhom għal żero qabel ma jikkalkula l-kontroll. Għalhekk kull ħaġa li terġa tikteb l-indirizzi tkisser il-kalkolu, mhux biss il-politika.

NAT iddawwar l-għażla f restrizzjoni

It-traduzzjoni tal-indirizzi terġa tikteb is-sors jew id-destinazzjoni fl-intestatura IP li AH għadha kemm ivverifikat, għalhekk il-verifika tal-integrità tfalli fit-tarf l-ieħor, u tfalli bħala żball tal-protokoll u mhux bħala messaġġ li jista jinqara. ESP ma tivverifikax l-intestatura ta barra, għalhekk ESP bi tranżitu NAT taħdem filwaqt li AH wara NAT ma taħdimx. Mina li ż-żewġ trufijiet tiegħu jinsabu wara routerers ordinarji hija eżattament il-post fejn dan jidher l-ewwel. Għalhekk l-ewwel mistoqsija mhijiex liema protokoll huwa aktar b saħħtu, iżda jekk hemmx traduttur bejn iż-żewġ naħat.

Jekk hemm, AH toħroġ, u d-diskors jgħaddi għal ESP u l-għażliet tal-algoritmi tiegħu. Din hija restrizzjoni u mhux preferenza, għalhekk hija fil-bidu tad-deċiżjoni u mhux fl-aħħar.

Il-mod jimmultiplika l-mistoqsija

ESP fil-mod tat-trasport tipproteġi t-tagħbija tas-saff ta fuq u tħalli l-intestatura IP, filwaqt li fil-mod tal-mina tinkapsula l-pakkett intern kollu, inkluża l-intestatura IP interna, u tipproteġiha. AH għandha l-istess żewġ modi, għalhekk AH jew ESP huma fil-fatt erba kombinazzjonijiet qabel ma jintgħażel kwalunkwe algoritmu.

L-algoritmi ESP fil-mod kombinat imbagħad isolvu l-integrità mingħajr it-tieni protokoll. AES-GCM u ChaCha20-Poly1305 jivverifikaw u jikkriptaw fi kostruzzjoni waħda, għalhekk iż-żieda ta AH fuqha ma tixtri xejn iżda tiswa intestatura oħra u negozjazzjoni oħra. L-arkitettura tippermetti AH u ESP flimkien, u l-mistoqsija prattika hija jekk il-gateway u l-verżjoni tiegħek jappoġġjawx il-kombinazzjoni u jekk xi ħadd jistax iżommha wara.

Is-sostitut onest għal AH biss

Il-varjant ESP tal-integrità biss iżomm l-algoritmu u jwarrab it-talba tal-kriptaġġ minflok ma jiffalsifikaha, u jgħaddi minn NAT. Jekk disinn antik uża AH għax kien jeħtieġ awtentikazzjoni mingħajr kunfidenzjalità, dak il-varjant huwa t-traduzzjoni diretta, u mhux mina kriptata b nota mehmuża.

Li tara ESP fi proposta lanqas hija prova tal-kriptaġġ. Aqra l-algoritmu tal-kriptaġġ: entrata NULL tfisser integrità biss, u entrata tal-mod kombinat tfisser it-tnejn.

Iddeċiedi fi tliet mistoqsijiet

Staqsi jekk il-kunfidenzjalità hijiex meħtieġa, jekk hemmx traduttur fit-triq, u liema oqsma tal-intestatura għandhom jiġu awtentikati. Dawk it-tliet tweġibiet jindikaw protokoll wieħed u mod wieħed, u li tiktebhom jieħu inqas ħin milli terġa taqra l-RFC aktar tard.

Imbagħad ivverifika dak li ġie aċċettat u mhux dak li ġie propost. ip xfrm state turi l-protokoll, il-mod u l-algoritmi tal-assoċjazzjoni installata, u nuqqas ta qbil ma jinstalla xejn, li huwa falliment aktar nadif minn mina li titla bla l-protezzjoni li kellek f moħħok.

Żomm il-fallimenti tal-awtentikazzjoni, il-kopertura tas-seletturi u l-ħsarat tar-rotta separati minn din l-għażla. Jagħtu sintomi differenti, u li tagħti l-ħtija lill-protokoll għal problema tas-selettur hija mod affidabbli kif tqatta jum tibdel hash mingħajr raġuni.