Profil IKEv2 tal-Mac: issettja ż-żewġ dizzjunarji SA, imbagħad ittestja

Konnessjoni b'suċċess turi biss li ż-żewġ trufijiet sabu sett ta' valuri li jaċċettaw. Profil IKEv2 tal-Mac immexxi jġorr żewġ dizzjunarji tal-assoċjazzjoni tas-sigurtà, il-bidla għandha l-lista tal-proposti tagħha stess, u l-konnessjoni tirnexxi fuq kwalunkwe intersezzjoni li ż-żewġ naħat jippermettu. Agħmel il-verifiki hawn taħt fl-ordni, u waqaf fejn iż-żewġ trufijiet ma jaqblux minflok ma żżid ċifra oħra biex tara jekk tgħinx. Kull pass jeskludi saff differenti tal-profil.

Iċċekkja ż-żewġ dizzjunarji qabel ma teditja valur

Fil-konfigurazzjonijiet IKEv2 tal-payload tal-VPN, IKESecurityAssociationParameters jiddeskrivi l-assoċjazzjoni IKE u ChildSecurityAssociationParameters jiddeskrivi il-Child SA. L-iskema ta' Apple tgħid li l-parametri IKE japplikaw ukoll għall-Child SA meta t-tieni dizzjunarju jkun nieqes. Dak l-wirt huwa konvenjenti, u hekk proprju profil jispiċċa b'valuri li ħadd ma għażel b'mod konxju.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Ikteb iż-żewġ ringieli fir-rekord tal-varar anki meta l-valuri jaqblu. Imbagħad reviżur jista' jara li l-Child SA ġiet ikkunsidrata minflok ma ntredu indipendentement, u bidla aktar tard f'ringiela waħda ma tibdilx lill-oħra bil-moħbi.

Iċċekkja x'jisser kull muftieħ qabel ma tikkopja string

L-erba' muftieħ mhumiex interkambjabbli ma' string ta' proposta minn prodott ieħor. L-ismijiet tal-algoritmi jiddependu mill-implimentazzjoni, għalhekk ittraduċi s-suite magħżula permezz tas-sintassi dokumentata ta' kull naħa minflok ma tpejstix proposta strongSwan f'qasam tal-Apple.

„Uża l-akbar numru tal-grupp” mhix metodu ta' għażla. L-identifikaturi tal-gruppi jsemmu kostruzzjonijiet differenti, u numru ogħla m'għandux sempliċement ifisser verżjoni aktar b'saħħitha tal-istess ħaġa. Ħalli lis-sid tal-bidla japprova l-kombinazzjoni sħiħa, għax suite hija valida jew invalida bħala ħaġa waħda. Ċifra approvata ma' grupp mhux approvat hija proposta mhux approvata, u jew se tfalli jew se taqa' bil-moħbi għal xi ħaġa li l-ebda naħa ma ddokumentat.

Iċċekkja l-limiti tal-verżjoni li jirtiraw l-algoritmi qodma

L-iskema tal-payload tal-Apple tillimita DES, 3DES, SHA1-96, SHA1-160 u l-gruppi Diffie-Hellman 1, 2 u 5 għal verżjonijiet tal-macOS qabel 26. Profil li nġieb minn varar eqdem jista' għad fih waħda minn dawk il-valuri u għad jikkonnettja ma' bidla qadima, u dan huwa proprju l-każ fejn konfigurazzjoni li taħdem taħbi data ta' rtirar.

Ikseb il-verżjonijiet tal-Mac appoġġjati u l-politika tal-proposti li żżomm il-bidla qabel ma tibni l-profil. Imbagħad agħżel l-intersezzjoni u rreġistra għaliex l-għażliet li baqa' ġew esklużi. Nota li tgħid „il-bidla għadha toffri l-grupp 2 għall-klijenti qodma” tiswa aktar minn lista ta' ċifri mingħajr storja. Mingħajr dik in-nota, ir-reviżur li jmiss ma jistax jiddistingwi eċċezzjoni deliberata minn traskuraġni.

Iċċekkja l-awtentikazzjoni fuq linja tagħha stess

Il-qbil dwar proposta ma jsewwix identità tal-server ħażina. L-identità tal-bidla, il-fiduċja taċ-ċertifikat u l-kredenzjali tal-utent jew tal-apparat huma deċiżjonijiet separati, u kull wieħed jista' jfalli waqt li l-algoritmi jkunu perfettament allinjati. Li tibdel l-algoritmu tal-firma taċ-ċertifikat mhuwiex l-istess att bħall-għażla tal-algoritmu tal-kriptaġġ IKE, għalkemm it-tnejn jidhru fl-istess reviżjoni.

Żomm l-identità tal-server mistennija ħdejn il-proposta fir-rekord. Meta konnessjoni tfalli wara bidla fiċ-ċertifikat, dak il-par jgħid lill-persuna li jmiss jekk tmexxietx l-ewwel in-negozjati jew id-deċiżjoni tal-fiduċja.

Ippubblika reviżjoni waħda u ċċekkja x'innegozja

Uża l-fluss tax-xogħol tad-distribuzzjoni appoġġjat mill-organizzazzjoni u rreġistra l-identifikatur tal-profil, ir-reviżjoni, il-verżjonijiet tal-Mac fil-mira u l-politika tal-bidla li taqbel. Agħti lill-apparati li ma jistgħux jikkonnettjaw mogħdija ta' rkupru dokumentata, u evita li toħloq it-tieni profil bl-istess isem li ħadd ma jista' jistabbilixxi s-sjieda tiegħu.

Waqt l-aċċettazzjoni, iċċekkja l-konfigurazzjoni installata u l-assoċjazzjonijiet IKE u Child innegozjati permezz ta' dijanjostika approvata. Imbagħad ġġiegħel tiġdid ikkontrollat, għax l-ewwel konnessjoni turi biss li n-negozjar inizjali ħadem; nuqqas ta' qbil fil-ħajja normalment jidher fl-ewwel bidla tal-muftieħ, ħafna wara li l-varar ikun approvat.

Żomm is-suite aċċettata mar-rekord tar-reviżjoni. Imbagħad l-aġġornament tal-macOS jew il-bidla fil-bidla li jmiss ikollhom linja bażi biex iqabblu magħha minflok profil li biss b'kumbinazzjoni jikkonnettja llum.