Påstander om VPN-kryptering: hva dokumentasjonen må si

Se på det store tallet ved siden av et algoritmenavn og spør hva det egentlig måler. Det forteller deg ikke hvilken forbindelse som er beskyttet, hvilken protokoll som leverer beskyttelsen, eller hvilke innstillinger klienten din støtter. En side som ikke kan knytte påstanden sin til en av disse, er reklame og ikke dokumentasjon. Kontrollene nedenfor er en leserekkefølge for hvilket som helst sammendrag du har fått, og den første påstanden du ikke kan knytte til en bestemt forbindelse, er stedet der du bør stoppe.

Fastslå hvilken forbindelse påstanden dekker

En produktside kan behandle tunnelkryptering, HTTPS til kontoportalen og kryptering av lagrede data i samme avsnitt. Det er forskjellige veier og forskjellige lagringssystemer, så en egenskap ved det ene sier ingenting om de andre. Avgjør hvilket av de tre setningen handler om, før du sammenligner den med en konkurrent. Det samme ordet, kryptering, forekommer i alle tre sammenhengene og betyr noe forskjellig hver gang.

For selve tunnelen, se etter en dokumentert protokoll og et dokumentert sett med støttede sikkerhetsinnstillinger. De tre merkelappene kan ikke byttes om: et standardsett leveres uten at du velger det, en valgfri modus gjelder bare hvis profilen velger den, og et forhandlet resultat er det partene ble enige om ved tilkobling. En leverandør som slører dette, har fortalt deg mindre enn det ser ut som.

Sjekk protokollen og settet den tillater

Start med klientprofilen i stedet for en sammenligningsgrafikk. Profilen navngir protokollen, og protokollen avgjør hvilke sett som i det hele tatt er mulige, slik de to vanlige tilfellene viser.

IKEv2-forslagslisten er en meny som gatewayen velger fra, så settet du får kan variere mellom to gatewayer med identiske klientinnstillinger. WireGuard har ingen slik meny, noe som gjør påstanden lettere å verifisere og smalere å beskrive. Ingen av ordningene er sterkere i seg selv; poenget er at dokumentasjonen må si hvilken som menes.

Et chiffrenavn alene utelater også autentisering, nøkkeloppsett, eksponering av metadata og oppbevaring. Moderne konstruksjoner kombinerer kryptering og integritet i ett sett, mens eldre skiller dem, så å nevne ett algoritmenavn kan skjule hvilken egenskap du faktisk får. Be om forhandlingspolicyen skriftlig når siden ikke oppgir den.

Sjekk motpartens autentisering og oppdateringstilstand

Autentisering av motparten hører med i påstanden også når markedsføringsteksten hopper over den. Sterk kryptering til en uverifisert mottaker er ikke resultatet noen mente, og en tunnel som ikke kan fortelle deg hvem som svarte, beskytter mindre enn det ser ut som. Se hvordan klienten validerer serveren: en sertifikatkjede, en festet nøkkel eller en forhåndsdelt hemmelighet. Det er forskjellige tillitsmodeller med forskjellige feilmoduser.

Sjekk deretter implementasjonen og oppdateringstilstanden, fordi et dokumentert chiffre i en ikke-oppdatert klient beskriver en versjon du kanskje ikke kjører. Publiserte begrensninger fra protokollforfatterne er verdt å lese av samme grunn. En klient som ikke er oppdatert på et år, fremsetter en annen påstand enn siden foran deg.

Sjekk hvor tunnelen ender

En tunnel fra klient til server ender på VPN-serveren. Applikasjonskryptering, som HTTPS til tjenesten bak, kan beskytte trafikk lenger fremme på ruten, og etter serveren kan den være den eneste beskyttelsen som gjenstår. Les operatørens forklaring av endepunktene og avgjør hvilket av disse lagene påstanden gjelder.

Loggpolicy og kontosporing står helt utenfor kryptering. En operatør kan frakte kryptert innhold mens den observerer timing, adresser og volum, så en påstand om nyttelastens konfidensialitet svarer ingenting om hva som registreres. Behandle oppbevaring som et eget spørsmål med sine egne bevis.

Skriv ned hva dokumentasjonen ikke sier

Når en egenskap mangler, skriv ned at den mangler i stedet for å utlede den fra navnet eller omdømmet til programvaren. En revisjon dekker bare egenskapene og komponentene den faktisk undersøkte, og et hull i dokumentasjonen er et funn i seg selv. Skriv ned hullet mens du fortsatt husker hvilken side som skapte det.

På en maskin du kontrollerer, les settet tilbake fra den aktive økten, via klientsidenes statusside eller listen over sikkerhetsassosiasjoner på gatewayen, og noter den verdien ved siden av klientversjonen. Den registreringen gjør en leverandørpåstand sammenlignbar senere, når en oppdatering endrer det forhandlede resultatet. Hvis klienten og dokumentasjonen er uenige, stol på det forhandlede resultatet og rapporter avviket i stedet for å jevne det ut i stillhet.