Beweringen over VPN-versleuteling: wat de documentatie moet zeggen

Kijk naar het grote getal naast een algoritmenaam en vraag wat het werkelijk meet. Het zegt niet welke verbinding is beschermd, welk protocol de bescherming levert of welke instellingen uw client ondersteunt. Een pagina die haar bewering niet aan een daarvan kan koppelen, is reclame en geen documentatie. De controles hieronder zijn een leesvolgorde voor welke samenvatting u ook hebt gekregen, en de eerste bewering die u niet aan een specifieke verbinding kunt koppelen, is het punt waarop u moet stoppen.

Bepaal welke verbinding de bewering dekt

Eén productpagina kan tunnelversleuteling, HTTPS naar het accountportaal en versleuteling van opgeslagen gegevens in één alinea behandelen. Dat zijn verschillende paden en verschillende opslagsystemen, dus een eigenschap van het ene zegt niets over de andere. Bepaal over welke van de drie de zin gaat voordat u hem met een concurrent vergelijkt. Hetzelfde woord, versleuteling, komt in alle drie de contexten voor en betekent elke keer iets anders.

Voor de tunnel zelf zoekt u een gedocumenteerd protocol en een gedocumenteerde set ondersteunde beveiligingsinstellingen. Die drie labels zijn niet uitwisselbaar: een standaardset komt zonder dat u die kiest, een optionele modus geldt alleen als het profiel die selecteert, en een onderhandeld resultaat is wat beide partijen bij het verbinden zijn overeengekomen. Een leverancier die dat vervaagt, heeft u minder verteld dan het lijkt.

Controleer het protocol en de set die het toestaat

Begin bij het clientprofiel en niet bij een vergelijkingsgrafiek. Het profiel noemt het protocol, en het protocol bepaalt welke sets überhaupt mogelijk zijn, zoals de twee gangbare gevallen laten zien.

De voorstellenlijst van IKEv2 is een menu waaruit de gateway kiest, dus de set die u krijgt kan verschillen tussen twee gateways met identieke clientinstellingen. WireGuard heeft zo'n menu niet, wat zijn bewering makkelijker te verifiëren en smaller te beschrijven maakt. Geen van beide opstellingen is op zichzelf sterker; het punt is dat de documentatie moet zeggen welke bedoeld is.

Een cijfernaam alleen laat ook authenticatie weg, sleutelopzet, blootstelling van metadata en bewaring. Moderne constructies combineren versleuteling en integriteit in één set, terwijl oudere ze scheiden, dus het noemen van één algoritmenaam kan verbergen welke eigenschap u werkelijk krijgt. Vraag het onderhandelingsbeleid schriftelijk op wanneer de pagina het niet vermeldt.

Controleer de authenticatie van de tegenpartij en de updatestatus

Authenticatie van de tegenpartij hoort bij de bewering, ook wanneer de marketingtekst die overslaat. Sterke versleuteling naar een niet-geverifieerde ontvanger is niet het resultaat dat iemand bedoelde, en een tunnel die u niet kan vertellen wie antwoordde, beschermt minder dan het lijkt. Kijk hoe de client de server valideert: een certificaatketen, een vastgezette sleutel of een vooraf gedeeld geheim. Dat zijn verschillende vertrouwensmodellen met verschillende faalwijzen.

Controleer daarna de implementatie en haar updatestatus, want een gedocumenteerd cijfer in een niet-gepatchte client beschrijft een versie die u misschien niet draait. Gepubliceerde beperkingen van de protocolauteurs zijn om dezelfde reden het lezen waard. Een client die een jaar niet is bijgewerkt, doet een andere bewering dan de pagina voor u.

Controleer waar de tunnel eindigt

Een tunnel van client naar server eindigt op de VPN-server. Applicatieversleuteling, zoals HTTPS naar de dienst erachter, kan verkeer verderop de route beschermen, en na de server kan het de enige overgebleven bescherming zijn. Lees de uitleg van de operator over eindpunten en bepaal op welke van die lagen de bewering betrekking heeft.

Logbeleid en accounttracking staan volledig buiten versleuteling. Een operator kan versleutelde inhoud vervoeren terwijl hij timing, adressen en volume waarneemt, dus een bewering over de vertrouwelijkheid van de payload beantwoordt niets over wat er wordt vastgelegd. Behandel bewaring als een aparte vraag met eigen bewijs.

Noteer wat de documentatie niet zegt

Wanneer een eigenschap ontbreekt, noteer dan dat die ontbreekt in plaats van haar af te leiden uit de naam of reputatie van de software. Een audit dekt alleen de eigenschappen en componenten die hij werkelijk heeft onderzocht, en een gat in de documentatie is op zichzelf een bevinding. Schrijf het gat op zolang u nog weet welke pagina het heeft veroorzaakt.

Op een machine die u beheert, leest u de set terug uit de actieve sessie, via de statuspagina van de client of de lijst met beveiligingsassociaties op de gateway, en noteert u die waarde naast de clientversie. Die registratie maakt een leveranciersbewering later vergelijkbaar, wanneer een update het onderhandelde resultaat verandert. Als de client en de documentatie van mening verschillen, vertrouw dan het onderhandelde resultaat en meld de afwijking in plaats van haar stil te verzoenen.