IPsec, OpenVPN र WireGuard मा पहिल्यै साझा गरिएको कुञ्जीले के गर्छ

पहिल्यै साझा गरिएको कुञ्जी भन्ने शब्द IPsec, OpenVPN र WireGuard का कागजातमा आउँछन्, तर तीन फरक वस्तु जनाउँछन्। एउटा प्रमाणीकरणको गोप्य हो, अर्कोले नियन्त्रण च्यानल जोगाउँछ, र तेस्रोले पहिल्यै पहिचान भएको हात मिलाउनमा सामग्री थप्छ। यिनलाई अदलबदलयोग्य मान्दा यस्तो जडान बन्छ जुन कसैले नसोचेको चरणमा असफल हुन्छ। मान त्यहाँ प्रतिलिपि गर्नुअघि त्यो प्रोटोकलमा यो क्षेत्रले के गर्छ पढ्नुहोस्।

तीन प्रोटोकल, तीन अर्थ

प्रत्येक प्रोटोकलले कुञ्जीको काम आफ्नै विशिष्टतामा तोक्छ र यी कामहरू एकअर्कामा पर्दैनन्। प्रमाणीकरणको गोप्यले दुई पक्षले एउटै मान जान्दछन् भनी प्रमाणित गर्छ। नियन्त्रण च्यानलको कुञ्जीले त्यसपछिको वार्तालाप जोगाउँछ। हात मिलाउनको थप अंशले कुञ्जी तालिका बदल्छ, तर पक्ष को हुन् भन्ने बदल्दैन।

यीमध्ये कुनै पनि भूमिकाले मानिसलाई प्रमाणित गर्दैन, र सबैभन्दा बढी समय यही भ्रमले लिन्छ। पहिल्यै साझा गरिएको कुञ्जी आदानप्रदानअघि यन्त्र वा गेटवेमा राखिन्छ, त्यसैले हरेक धारक अर्को पक्षलाई उस्तै देखिन्छ। यो गुण दुई राउटरबीचको जोडाइका लागि फाइदा हो र नाम खुलाइएका कर्मचारी भएको टाढाको पहुँच सेवाका लागि जोखिम। खाताको प्रमाण र क्रिप्टोग्राफिक गोप्यलाई तैनाथी वर्णन गर्ने कागजातको छुट्टाछुट्टै स्तम्भमा राख्नुहोस्।

IPsec र OpenVPN ले यो शब्द फरक तरिकाले प्रयोग गर्छन्

IKEv2 ले कुनै पक्षलाई प्रमाणपत्रको सट्टा पहिल्यै साझा गरिएको गोप्यले प्रमाणित गर्न सक्छ, र मान दुवै छेउमा मिल्नुपर्छ। त्यही गोप्य सामान्यतया पक्षहरूको समूहका लागि सेट हुने हुँदा जोसुकै धारकले अरूको रूप धारण गर्न सक्छ, र आदानप्रदानले कहिल्यै नभएका पहिचान कुञ्जीबाट अगाडिको गोपनीयता पाउँदैन।

OpenVPN का tls-auth र tls-crypt विकल्पले नियन्त्रण च्यानलमा स्थिर कुञ्जी जोड्छन्, या HMAC हस्ताक्षर थप्छन् या आफैं वार्तालाप इन्क्रिप्ट गर्छन्। त्यो कुञ्जी प्रयोगकर्ता पासवर्ड होइन र ग्राहक प्रमाणपत्रको ठाउँ लिँदैन। दुवैबीचको फरक नवीकरणको बेला महत्त्वपूर्ण हुन्छ, जब पासवर्ड बदल्दा नियन्त्रण च्यानलको कुञ्जी अछुत रहन्छ।

WireGuard को PSK थप्छ, पहिचान दिँदैन

WireGuard का पक्षसँग पहिल्यै Curve25519 का सार्वजनिक र निजी कुञ्जी छन् र हात मिलाउनले यी पहिचान प्रमाणित गर्छ। ऐच्छिक पहिल्यै साझा गरिएको कुञ्जी शृंखला-कुञ्जीमा मिसिन्छ र सार्वजनिक कुञ्जीको आदानप्रदानमाथि सममित सामग्री थप्छ।

यसले आफैंमा न पहिचान दिन्छ न प्रयोगकर्ता खाता, त्यसैले अपरेटरले दुई धारकलाई तिनको PSK ले छुट्याउन सक्दैन। दुवै छेउमा एउटै मान हुनुपर्छ, नत्र हात मिलाउन कुनै उपयोगी त्रुटि सन्देशबिना असफल हुन्छ। त्यसैले घुमाइको योजना दुवै पक्षका लागि एकैचोटि बनाउनुपर्छ, एउटा फाइल सम्पादन गरेजस्तो होइन।

वितरण, घुमाइ र हटाइ जाँच्नुहोस्

वितरण हरेक त्यस्तो डिजाइनको कमजोर बिन्दु हो जसले एउटै गोप्य धेरै ठाउँमा प्रयोग गर्छ। च्याट विन्डोमा टाँसिएको, भण्डारमा राखिएको वा वातावरणबीच पुनः प्रयोग भएको मान यस्ता प्रतिलिपि जम्मा गर्छ जो कसैले गन्न सक्दैन, र हरेक प्रतिलिपिले चुपचाप क्षतिको दायरा फैलाउँछ।

Base64 पाठ इन्क्रिप्शन होइन। उही फोल्डरमा सार्वजनिक प्रमाणपत्रको छेउमा राखिएको गोप्य अझै खुला पाठमा गोप्य हो।

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

तालिकाअनुसार र कुनै पनि शंकास्पद खुलासापछि घुमाइ गर्नुहोस्, र पुरानो मान रद्द गर्नुअघि हरेक लक्षित पक्ष अद्यावधिक गर्नुहोस्। त्यसपछि जोडाइ दुवै छेउबाट जाँच्नुहोस्, किनकि नमिल्ने कुञ्जी हात मिलाउनमा असफल हुन्छ र ठ्याक्कै फायरवालको समस्याजस्तै देखिन्छ।

कुन गोप्यले कुन चरण जोगाउँछ भनी अभिलेख गर्नुहोस्, ताकि पासवर्ड रिसेट कहिल्यै क्रिप्टोग्राफिक कुञ्जीको नवीकरणसँग नमिलियोस्। त्यो एउटा लाइनले हरेक पटक एक घण्टा बचाउँछ जब कसैले तैनाथीको समीक्षा गर्छ।