Versleuteling verbergt de gegevens; authenticatie benoemt de tegenpartij
Versleuteling beschermt de inhoud, authenticatie van de tegenpartij benoemt de server en autorisatie bepaalt wat een identiteit mag openen. Vraag naar alle drie bij een VPN-ontwerp.
Versleuteling zonder controle van de tegenpartij kan een vertrouwelijk gesprek bij de verkeerde partij afleveren. Authenticatie zonder autorisatie bewijst wie er meedeed, maar niet wat hij mag openen. Dat zijn drie afzonderlijke controles, en een VPN-beoordeling die alleen naar de versleuteling vraagt, beantwoordt er één van. Orden de vragen voordat u een instellingenpagina opent.
Vier vragen voordat u het veilig noemt
Vier vragen geven de beoordeling vorm: wat kunnen waarnemers lezen, welke server antwoordt, wie doet mee en wat mag die identiteit gebruiken. Versleuteling beantwoordt de eerste, authenticatie van de tegenpartij de tweede, authenticatie van gebruiker of apparaat de derde en autorisatie de laatste. Een naam van een versleuteling of een geslaagde aanmelding is maar een gedeeltelijk antwoord.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Een ontwerp dat één rij onbehandeld laat, wordt niet veilig door een andere rij te versterken. De controles vullen elkaar aan, ze zijn niet uitwisselbaar.
Authenticatie van de tegenpartij is geen aanmelding
De client controleert dat de server de bedoelde is, met behulp van ingestelde certificaten, openbare sleutels of een ander ondersteund mechanisme. Een vertrouwde certificaatautoriteit maakt niet elk certificaat dat zij ooit heeft uitgegeven de juiste server, dus de identiteitscontrole blijft belangrijk. Een geldig wachtwoord intypen bij een niet-geverifieerd eindpunt maakt dat eindpunt niet betrouwbaar. Het wachtwoord bewijst alleen dat u bereid was zich te authenticeren bij wie er ook antwoordde.
WireGuard toont hetzelfde idee met ander gereedschap: een ingestelde tegenpartijsleutel voert een identiteitscontrole uit zonder een certificaatvenster zoals in een browser. Een gedeeld geheim dat veel gebruikers kennen, identificeert eerder de groep dan één persoon, daarom draagt een unieke apparaatreferentie vaak een sterkere identiteit.
Geauthenticeerde versleuteling is een cryptografische term
Geauthenticeerde versleuteling betekent dat de versleuteling de vertrouwelijkheid beschermt en ongeoorloofde wijzigingen detecteert. Het betekent niet dat een mens is ingelogd, en het bepaalt niet welke bestanden een account mag openen. De naam van een versleutelingssuite beschrijft een constructie, niet een relatie tussen twee partijen. Pakketintegriteit, de identiteit van de tegenpartij en accountrechten zijn verwante eisen met afzonderlijk bewijs.
Het vertrouwensprofiel RFC 5280 is de referentie voor certificaatpaden en identiteitscontroles wanneer de uitrol X.509 gebruikt. Het lezen ervan is nuttiger dan het woord geauthenticeerd als synoniem voor veilig te behandelen.
Lees de fout voordat u een controle verzwakt
Een verlopen certificaat, een verkeerde systeemklok en een onverwachte serveridentiteit hebben elk hun eigen correctie. Een geweigerd account heeft een andere. Als de server legitiem is gewijzigd, haal dan het bijgewerkte vertrouwensmateriaal bij de geverifieerde exploitant. De identiteitscontrole weghalen zodat de tunnel verbindt, ruilt een zichtbare fout in voor een onzichtbare.
Bescherm de inloggegevens waarvan de tunnel afhangt. Een profiel kan een persoonlijke sleutel bevatten, en een opgeslagen wachtwoord kan toegang op afstand geven. Wanneer er een uitlekt, gebruik dan het account- of sleutelbeheerproces van de dienst, want een ander land kiezen in de clientmap trekt de oude identiteit niet in.