Påstandar om VPN-kryptering: kva dokumentasjonen må seie

Sjå på det store talet ved sida av eit algoritmenamn og spør kva det eigentleg måler. Det fortel deg ikkje kva samband som er verna, kva protokoll som leverer vernet, eller kva innstillingar klienten din støttar. Ei side som ikkje kan knyte påstanden sin til ein av desse, er reklame og ikkje dokumentasjon. Kontrollane nedanfor er ein leserekkjefølgje for kva som helst samandrag du har fått, og den første påstanden du ikkje kan knyte til eit bestemt samband, er staden der du bør stoppe.

Fastslå kva samband påstanden dekkjer

Ei produktside kan handsame tunnelkryptering, HTTPS til kontoportalen og kryptering av lagra data i same avsnitt. Det er ulike vegar og ulike lagringssystem, så ein eigenskap ved det eine seier ingenting om dei andre. Avgjer kva av dei tre setninga handlar om, før du samanliknar henne med ein konkurrent. Det same ordet, kryptering, finst i alle tre samanhengane og tyder noko ulikt kvar gong.

For sjølve tunnelen, sjå etter ein dokumentert protokoll og eit dokumentert sett med støtta sikkerheitsinnstillingar. Dei tre merkelappane kan ikkje bytast om: eit standardsett kjem utan at du vel det, ein valfri modus gjeld berre om profilen vel han, og eit forhandla resultat er det partane vart samde om ved tilkopling. Ein leverandør som slører dette, har fortalt deg mindre enn det ser ut som.

Sjekk protokollen og settet han tillèt

Start med klientprofilen i staden for ein samanlikningsgrafikk. Profilen namngir protokollen, og protokollen avgjer kva sett som i det heile er moglege, slik dei to vanlege tilfella viser.

IKEv2-forslagslista er ei meny som gatewayen vel frå, så settet du får kan variere mellom to gatewayar med identiske klientinnstillingar. WireGuard har inga slik meny, noko som gjer påstanden lettare å verifisere og smalare å skildre. Ingen av ordningane er sterkare i seg sjølv; poenget er at dokumentasjonen må seie kva som er meint.

Eit chiffernamn åleine utelèt også autentisering, nøkkeloppsett, eksponering av metadata og oppbevaring. Moderne konstruksjonar kombinerer kryptering og integritet i eitt sett, medan eldre skil dei, så å nemne eitt algoritmenamn kan skjule kva eigenskap du faktisk får. Be om forhandlingspolicyen skriftleg når sida ikkje oppgir han.

Sjekk autentiseringa av motparten og oppdateringstilstanden

Autentisering av motparten høyrer med i påstanden også når marknadsføringsteksten hoppar over henne. Sterk kryptering til ein uverifisert mottakar er ikkje resultatet nokon meinte, og ein tunnel som ikkje kan fortelje deg kven som svara, vernar mindre enn det ser ut som. Sjå korleis klienten validerer serveren: ei sertifikatkjede, ein festa nøkkel eller ei på førehand delt løyndom. Det er ulike tillitsmodellar med ulike feilmodus.

Sjekk deretter implementasjonen og oppdateringstilstanden, fordi eit dokumentert chiffre i ein klient som ikkje er oppdatert skildrar ein versjon du kanskje ikkje køyrer. Publiserte avgrensingar frå protokollforfattarane er verd å lese av same grunn. Ein klient som ikkje er oppdatert på eit år, set fram ein annan påstand enn sida framfor deg.

Sjekk kvar tunnelen endar

Ein tunnel frå klient til server endar på VPN-serveren. Applikasjonskryptering, som HTTPS til tenesta bak, kan verne trafikk lenger framme på ruta, og etter serveren kan ho vere det einaste vernet som står att. Les forklaringa til operatøren om endepunkta og avgjer kva av desse laga påstanden gjeld.

Loggpolicy og kontosporing står heilt utanfor kryptering. Ein operatør kan frakte kryptert innhald medan han observerer timing, adresser og volum, så ein påstand om konfidensialiteten til nyttelasta svarar ingenting om kva som vert registrert. Handsame oppbevaring som eit eige spørsmål med sine eigne prov.

Skriv ned kva dokumentasjonen ikkje seier

Når ein eigenskap manglar, skriv ned at han manglar i staden for å utleie han frå namnet eller omdømet til programvara. Ein revisjon dekkjer berre eigenskapane og komponentane han faktisk undersøkte, og eit hol i dokumentasjonen er eit funn i seg sjølv. Skriv ned holet medan du enno hugsar kva side som skapte det.

På ein maskin du kontrollerer, les settet tilbake frå den aktive økta, via statussida til klienten eller lista over sikkerheitsassosiasjonar på gatewayen, og noter den verdien ved sida av klientversjonen. Den registreringa gjer ein leverandørpåstand samanliknbar seinare, når ei oppdatering endrar det forhandla resultatet. Om klienten og dokumentasjonen er usamde, stol på det forhandla resultatet og rapporter avviket i staden for å jamne det ut i det stille.