X'jagħmel ċavetta maqsuma minn qabel f'IPsec, OpenVPN u WireGuard

Il-kliem ċavetta maqsuma minn qabel jidhru fid-dokumentazzjoni ta' IPsec, OpenVPN u WireGuard, iżda jiddeskrivu tliet oġġetti differenti. Wieħed huwa sigriet ta' awtentikazzjoni, ieħor jipproteġi kanal ta' kontroll, u t-tielet iżid materjal ma' handshake li diġà għandu identitajiet. Jekk jitqiesu bħala li jistgħu jiġu skambjati, tinkiseb konnessjoni li tfalli fi stadju li ħadd ma stenna. Aqra x'jagħmel il-qasam f'dak il-protokoll qabel ma tikkopja valur fih.

Tliet protokolli, tliet tifsiriet

Kull protokoll jiddefinixxi x-xogħol taċ-ċavetta fl-ispeċifikazzjoni tiegħu stess, u x-xogħlijiet ma jidħlux fuq xulxin. Sigriet ta' awtentikazzjoni jipprova li żewġ partijiet jafu l-istess valur. Ċavetta tal-kanal ta' kontroll tipproteġi n-negozjati li jsegwu. Żieda mal-handshake tbiddel l-iskeda taċ-ċwievet mingħajr ma tbiddel min huma l-partijiet.

L-ebda wieħed minn dawn ir-rwoli ma jawtentika bniedem, u proprju dan it-taħwid jiswa l-aktar ħin. Ċavetta maqsuma minn qabel titqiegħed fuq apparati jew gateways qabel l-iskambju, għalhekk kull detentur jidher l-istess għan-naħa l-oħra. Din il-proprjetà hija vantaġġ għal konnessjoni bejn żewġ routers u riskju għal servizz ta' aċċess mill-bogħod b'impjegati msemmija. Żomm il-kredenzjali tal-kont u s-sigriet kriptografiku f'kolonni separati fid-dokument li jiddeskrivi l-varar.

IPsec u OpenVPN jużaw il-kelma b'mod differenti

IKEv2 jista' jawtentika sieħeb b'sigriet maqsum minn qabel minflok ċertifikati, u l-valur irid jaqbel fuq iż-żewġ naħat. Għax l-istess sigriet normalment jiġi kkonfigurat għal grupp ta' partijiet, kull detentur jista' jippreżenta ruħu bħall-oħrajn, u l-iskambju ma jikseb l-ebda kunfidenzjalità 'l quddiem minn ċwievet ta' identità li qatt ma kellu.

L-għażliet tls-auth u tls-crypt ta' OpenVPN iwaħħlu ċavetta statika mal-kanal ta' kontroll, billi jżidu firma HMAC jew jikkriptaw in-negozjati stess. Dik iċ-ċavetta mhijiex password tal-utent u ma tissostitwixxix iċ-ċertifikat tal-klijent. Id-distinzjoni tagħmel differenza fit-tiġdid, meta bidla fil-password tħalli ċ-ċavetta tal-kanal ta' kontroll intatta.

Il-PSK ta' WireGuard iżid, ma jidentifikax

Il-partijiet ta' WireGuard diġà għandhom ċwievet pubbliċi u privati Curve25519, u l-handshake jawtentika dawn l-identitajiet. Ċavetta maqsuma minn qabel fakultattiva titħallat fiċ-ċavetta tal-katina u tikkontribwixxi materjal simetrika fuq l-iskambju taċ-ċwievet pubbliċi.

Ma tipprovdix identità tagħha stess u lanqas kont tal-utent, għalhekk operatur ma jistax jiddistingwi żewġ detenturi bil-PSK tagħhom. Iż-żewġ naħat iridu jġorru l-istess valur, inkella l-handshake tfalli mingħajr messaġġ ta' żball utli. Għalhekk ir-rotazzjoni trid tiġi ppjanata għaż-żewġ naħat flimkien u mhux bħala editjar ta' fajl wieħed.

Iċċekkja d-distribuzzjoni, ir-rotazzjoni u t-tneħħija

Id-distribuzzjoni hija l-punt dgħajjef f'kull disinn li juża sigriet wieħed f'ħafna postijiet. Valur imwaħħal f'tieqa taċ-chat, maħżun f'repożitorju jew użat mill-ġdid bejn ambjenti jiġbor kopji li ħadd ma jista' jgħodd, u kull kopja testendi bil-kwiet il-firxa tal-ħsara.

It-test Base64 mhuwiex kriptaġġ. Sigriet maħżun ħdejn ċertifikat pubbliku fl-istess direttorju għadu sigriet fil-miftuħ.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Dawwar skont skeda u wara kull espożizzjoni suspettata, billi taġġorna kull sieħeb maħsub qabel ma tirtira l-valur il-qadim. Imbagħad ipprova l-konnessjoni miż-żewġ naħat, għax ċavetta li ma taqbilx tfalli fil-handshake u tidher eżattament bħal problema tal-firewall.

Iddokumenta liema sigriet jipproteġi liema stadju, biex reset tal-password qatt ma jiġi mħawwad mat-tiġdid ta' ċavetta kriptografika. Dik il-linja waħda tiffranka siegħa kull darba li xi ħadd jaqbad l-varar.