AES-256 VPN ਐਨਕ੍ਰਿਪਸ਼ਨ ਸੂਟ ਦਾ ਵਰਣਨ ਕਿਉਂ ਨਹੀਂ ਕਰਦਾ
ਇੱਕ ਸੂਟ ਚਾਰ ਭੂਮਿਕਾਵਾਂ ਨਿਭਾਉਂਦਾ ਹੈ: ਬਹੁਤਾਤ ਐਨਕ੍ਰਿਪਸ਼ਨ, ਅਖੰਡਤਾ, ਕੁੰਜੀ ਸਥਾਪਨਾ ਅਤੇ ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ। ਸਾਈਫਰ ਦਾ ਨਾਮ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਨੂੰ, ਇੱਕ ਪਰਤ ਤੇ ਕਵਰ ਕਰਦਾ ਹੈ।
VPN ਕਿਹੜਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਵਰਤਦਾ ਹੈ ਪੁੱਛੋ ਤੇ ਜਵਾਬ ਆਮ ਤੌਰ ਤੇ ਇੱਕ ਸ਼ਬਦ ਵਿੱਚ ਆਉਂਦਾ ਹੈ: AES-256, ਜਾਂ ChaCha20, ਜਾਂ ਸ਼ਾਇਦ WireGuard। ਉਹ ਜਵਾਬ ਇੱਕ ਪਰਤ ਦੇ ਇੱਕ ਹਿੱਸੇ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਕਨੈਕਸ਼ਨ ਨੂੰ ਅਸਲ ਵਿੱਚ ਬਚਾਉਣ ਵਾਲੀ ਚੀਜ਼ ਚਾਰ ਵੱਖਰੀਆਂ ਭੂਮਿਕਾਵਾਂ ਨਿਭਾਉਣ ਵਾਲੇ ਐਲਗੋਰਿਦਮ ਦਾ ਸਮੂਹ ਹੈ। ਹਿੱਸੇ ਨੂੰ ਬਣਤਰ ਨਾਲ ਮਿਲਾ ਦੇਣਾ ਇਨ੍ਹਾਂ ਗੱਲਾਂ ਵਿੱਚ ਸਭ ਤੋਂ ਆਮ ਗਲਤੀ ਹੈ, ਅਤੇ ਇਹ ਅਣਸੁਲਝੀਆਂ ਤੁਲਨਾਵਾਂ ਪੈਦਾ ਕਰਦੀ ਹੈ।
ਇੱਕ ਕਨੈਕਸ਼ਨ ਦੇ ਅੰਦਰ ਚਾਰ ਕੰਮ
ਬਹੁਤਾਤ ਐਨਕ੍ਰਿਪਸ਼ਨ ਡੇਟਾ ਚੈਨਲ ਲਈ ਸਪਸ਼ਟ ਟੈਕਸਟ ਨੂੰ ਸਾਈਫਰ ਟੈਕਸਟ ਵਿੱਚ ਬਦਲਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਕੁੰਜੀ ਭੇਜੀ ਨਹੀਂ ਜਾਂਦੀ ਸਗੋਂ ਕੱਢੀ ਜਾਂਦੀ ਹੈ। ਅਖੰਡਤਾ ਸੁਰੱਖਿਆ ਤਬਦੀਲੀ ਲੱਭਦੀ ਹੈ, ਜੋ ਵੱਖਰਾ ਕੰਮ ਹੈ ਭਾਵੇਂ ਇੱਕੋ ਬਣਤਰ ਦੋਵੇਂ ਕਰੇ। ਕੁੰਜੀ ਸਥਾਪਨਾ ਸਾਂਝੀ ਟ੍ਰੈਫਿਕ ਸਮੱਗਰੀ ਬਣਾਉਂਦੀ ਹੈ, ਅਤੇ ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਦੂਜੇ ਸਿਰੇ ਤੇ ਕੌਣ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵੀ ਨਾ ਹੋਵੇ ਤਾਂ ਕਨੈਕਸ਼ਨ ਸੁਰੱਖਿਅਤ ਨਹੀਂ, ਬਾਕੀ ਹਿੱਸਾ ਕਿੰਨਾ ਵੀ ਮਜ਼ਬੂਤ ਹੋਵੇ।
ਕੁਝ ਡਿਜ਼ਾਈਨ ਦੋ ਭੂਮਿਕਾਵਾਂ ਨੂੰ ਇੱਕ ਵਿੱਚ ਜੋੜਦੇ ਹਨ। AES-GCM ਅਤੇ ChaCha20-Poly1305 ਪ੍ਰਮਾਣਿਤ ਐਨਕ੍ਰਿਪਸ਼ਨ ਬਣਤਰਾਂ ਹਨ, ਇਸ ਲਈ ਗੋਪਨੀਅਤਾ ਅਤੇ ਅਖੰਡਤਾ ਇਕੱਠੇ ਆਉਂਦੇ ਹਨ; AES-CBC ਇਸ ਤਰ੍ਹਾਂ ਨਹੀਂ, ਅਤੇ ਇਸਨੂੰ ਆਪਣੀ ਕੁੰਜੀ ਵਾਲਾ ਵੱਖਰਾ ਸੁਨੇਹਾ ਪ੍ਰਮਾਣਿਕਤਾ ਕੋਡ ਚਾਹੀਦਾ ਹੈ। ਇਸ ਲਈ ਪ੍ਰਸਤਾਵ ਨੂੰ ਸੁਤੰਤਰ ਸੰਖਿਆਵਾਂ ਦੀ ਥੈਲੀ ਵਜੋਂ ਪੜ੍ਹਨਾ ਜੋੜਿਆਂ ਵਜੋਂ ਬਣੇ ਲੋਕਾਂ ਨੂੰ ਗਲਤ ਪੜ੍ਹਦਾ ਹੈ।
ਭੂਮਿਕਾਵਾਂ ਵੱਖਰੀਆਂ ਪਰਤਾਂ ਤੇ ਵੀ ਹੁੰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਇੱਕੋ ਸ਼ਬਦ ਦੋ ਉਤਪਾਦਾਂ ਵਿੱਚ ਵੱਖਰਾ ਅਰਥ ਦੇ ਸਕਦਾ ਹੈ। ESP ਅੰਦਰ ਬਲਾਕ ਸਾਈਫਰ ਅਤੇ TLS ਅੰਦਰ ਬਲਾਕ ਸਾਈਫਰ ਵੱਖਰੀਆਂ ਲੋੜਾਂ ਵਾਲੀਆਂ ਵੱਖਰੀਆਂ ਗੱਲਬਾਤਾਂ ਵਿੱਚ ਇੱਕੋ ਮੂਲ ਤੱਤ ਹਨ। ਇਸ ਲਈ ਮੂਲ ਤੱਤ ਨੂੰ ਇਸਦੇ ਮੋਡ ਅਤੇ ਪਰਤ ਤੋਂ ਬਿਨਾਂ ਦੱਸਣਾ ਕੁਝ ਵੀ ਨਾ ਦੱਸਣ ਨਾਲੋਂ ਮਾੜਾ ਹੋ ਸਕਦਾ ਹੈ।
ਸਾਈਫਰ ਦਾ ਨਾਮ ਲਗਭਗ ਕੁਝ ਕਿਉਂ ਨਹੀਂ ਦੱਸਦਾ
AES-256 ਵਾਕ ਨੂੰ ਇੱਕ ਪਲ ਗੰਭੀਰਤਾ ਨਾਲ ਲਓ: ਇਹ ਬਲਾਕ ਸਾਈਫਰ ਅਤੇ ਕੁੰਜੀ ਦਾ ਆਕਾਰ ਦੱਸਦਾ ਹੈ। ਇਹ ਕੰਮ ਕਰਨ ਦੇ ਢੰਗ, ਅਖੰਡਤਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਕੁੰਜੀਆਂ ਕਿਵੇਂ ਸਥਾਪਿਤ ਹੋਈਆਂ ਜਾਂ ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਿਵੇਂ ਹੋਈ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ। ਦੋ ਉਤਪਾਦ ਦੋਵੇਂ AES-256 ਦਾ ਪ੍ਰਚਾਰ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਬਾਕੀ ਹਰ ਗੱਲ ਵਿੱਚ ਵੱਖਰੇ ਹੋ ਸਕਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਇੱਕ ਅਪ੍ਰਮਾਣਿਤ ਮੋਡ ਨਾਲ ਅਤੇ ਦੂਜਾ ਆਧੁਨਿਕ ਕੁੰਜੀ ਬਦਲ ਨਾਲ AEAD ਮੋਡ ਵਰਤਦਾ।
TLS 1.3 ਨੇ ਇਹ ਵੰਡ ਮਿਆਰ ਵਿੱਚ ਲਿਆਂਦੀ, ਜੋ ਪੁਰਾਣੀ ਸ਼ਬਦਾਵਲੀ ਸਿੱਖਣ ਵਾਲੇ ਹਰ ਵਿਅਕਤੀ ਲਈ ਲਾਹੇਵੰਦ ਸੁਧਾਰ ਹੈ। ਇਸਦੇ ਸਾਈਫਰ ਸੂਟ ਸਿਰਫ਼ AEAD ਅਤੇ ਹੈਸ਼ ਦਾ ਨਾਮ ਲੈਂਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕੁੰਜੀ ਬਦਲ ਸਮੂਹ ਅਤੇ ਦਸਤਖ਼ਤ ਐਲਗੋਰਿਦਮ ਵੱਖਰੇ ਪੈਰਾਮੀਟਰ ਵਜੋਂ ਗੱਲਬਾਤ ਹੁੰਦੇ ਹਨ। ਇਸ ਲਈ TLS 1.3 ਸੂਟ ਦਾ ਨਾਮ TLS 1.2 ਸੂਟ ਦੇ ਨਾਮ ਨਾਲ ਬਰਾਬਰ ਆਧਾਰ ਤੇ ਤੁਲਨਾਯੋਗ ਨਹੀਂ, ਭਾਵੇਂ ਦੋਵੇਂ ਇੱਕੋ ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਦੇ ਇੱਕੋ ਖੇਤਰ ਵਿੱਚ ਦਿਸਦੇ ਹਨ। ਦੋ ਸਟ੍ਰਿੰਗਾਂ ਦੀ ਸਿੱਧੀ ਤੁਲਨਾ ਕਰਨ ਵਾਲਾ ਆਡੀਟਰ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਨਾ ਰੱਖਣ ਵਾਲਾ ਸਿੱਟਾ ਕੱਢਦਾ ਹੈ। ਗੱਲਬਾਤ ਵਾਲਾ ਸਮੂਹ ਅਤੇ ਦਸਤਖ਼ਤ ਪੈਰਾਮੀਟਰ ਵੀ ਪੜ੍ਹੋ, ਨਹੀਂ ਤਾਂ ਤੁਲਨਾ ਅਧੂਰੀ ਹੈ।
WireGuard ਉਲਟਾ ਰਾਹ ਚੁਣਦਾ ਹੈ ਅਤੇ ਗੱਲਬਾਤ ਨੂੰ ਲਗਭਗ ਪੂਰੀ ਤਰ੍ਹਾਂ ਹਟਾ ਦਿੰਦਾ ਹੈ: ਪ੍ਰੋਟੋਕੋਲ ਇੱਕ ਨਿਸ਼ਚਿਤ ਐਲਗੋਰਿਦਮ ਸੈੱਟ ਤੈਅ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਦੋ ਲਾਗੂਕਰਨ ਇਕੱਠੇ ਕੰਮ ਕਰਦੇ ਹਨ ਜਾਂ ਨਹੀਂ। ਇਹ ਜਾਇਜ਼ ਡਿਜ਼ਾਈਨ ਚੋਣ ਹੈ, ਅਤੇ ਇਸਦਾ ਇਹ ਵੀ ਅਰਥ ਹੈ ਕਿ WireGuard ਕਿਹੜੇ ਸੂਟ ਦੀ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ ਇਸ ਸਵਾਲ ਦਾ ਤੁਲਨਾ ਯੋਗ ਜਵਾਬ ਨਹੀਂ। ਜੇ ਤੁਸੀਂ ਇਸਦਾ ਆਡਿਟ ਕਰ ਰਹੇ ਹੋ, ਵਿਸਥਾਰ ਇੱਕ ਵਾਰ ਪੜ੍ਹੋ ਅਤੇ ਫਿਰ ਗੱਲਬਾਤ ਦੀ ਥਾਂ ਇਸਦੇ ਆਲੇ-ਦੁਆਲੇ ਕੁੰਜੀ ਪ੍ਰਬੰਧ ਦਾ ਆਡਿਟ ਕਰੋ।
ਪਰਤ ਸ਼ਬਦਾਵਲੀ ਤੈਅ ਕਰਦੀ ਹੈ
IPsec ਤੈਨਾਤੀ ਦੋ ਵਾਰ ਗੱਲਬਾਤ ਕਰਦੀ ਹੈ: ਨਿਯੰਤਰਣ ਚੈਨਲ ਲਈ IKE ਪ੍ਰਸਤਾਵ ਅਤੇ ਡੇਟਾ ਲਈ ESP ਰੂਪਾਂਤਰ, ਅਤੇ ਦੋਵੇਂ ਜਾਇਜ਼ ਤੌਰ ਤੇ ਵੱਖਰੇ ਹੋ ਸਕਦੇ ਹਨ। ਪਹਿਲੇ ਨੂੰ ਪੜ੍ਹ ਕੇ ਦੂਜੇ ਦਾ ਵਰਣਨ ਕਰਦਾ ਮੰਨਣਾ ਆਡਿਟ ਦੌਰਾਨ ਉਲਝਣ ਦਾ ਆਮ ਸਰੋਤ ਹੈ, ਕਿਉਂਕਿ ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਦੋਵਾਂ ਦਾ ਜ਼ਿਕਰ ਕਰਦੀ ਹੈ ਅਤੇ ਦਿਲਚਸਪ ਦੂਜਾ ਹੈ।
| Layer | What is negotiated there | What it does not cover |
|---|---|---|
| IKE proposal | Algorithms and groups for the control channel that builds the tunnel | The algorithms protecting the data itself |
| ESP transform | Encryption and integrity for tunneled packets | Peer identity, which authentication already settled |
| TLS handshake | AEAD and hash, plus separately negotiated groups and signatures | Routing, authorization or retention policy |
| WireGuard | Nothing; the algorithm set is fixed by the protocol | Everything above the cryptographic arrangement |
ਇੱਕ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਉਪਲਬਧ ਨਾਮ ਦੂਜੇ ਡੇਟਾ ਰਾਹ ਲਈ ਆਪਣੇ ਆਪ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ। ਇਸ ਲਈ ਇਹ ਦਾਅਵਾ ਕਿ ਸਾਡਾ ਉਤਪਾਦ AES-256 ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਸੁਣਨ ਨਾਲੋਂ ਕਮਜ਼ੋਰ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਅੰਤਰ-ਕਾਰਜਸ਼ੀਲਤਾ ਦੀ ਸਮੱਸਿਆ ਆਮ ਤੌਰ ਤੇ ਦੋਵਾਂ ਪਾਸਿਆਂ ਸਾਰੇ ਪੁਰਾਣੇ ਐਲਗੋਰਿਦਮ ਸਮਰੱਥ ਕਰਨ ਦੀ ਥਾਂ ਸੰਭਾਲੇ ਹੋਏ ਕੱਟ ਨੂੰ ਲੱਭ ਕੇ ਹੱਲ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
TLS 1.3 ਵਿਸਥਾਰ ਇਸ ਵੰਡ ਦਾ ਸਭ ਤੋਂ ਸਪਸ਼ਟ ਪ੍ਰਕਾਸ਼ਿਤ ਉਦਾਹਰਨ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਸੂਟ ਨੂੰ ਜੋੜੀ ਵਜੋਂ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਬਾਕੀ ਨੂੰ ਆਪਣੀ ਗੱਲਬਾਤ ਵੱਲ ਭੇਜਦਾ ਹੈ। ਉਹ ਆਕਾਰ ਜਾਣਿਆ ਜਾਣ ਤੋਂ ਬਾਅਦ IPsec ਪ੍ਰਸਤਾਵ ਅਤੇ WireGuard ਦਾ ਇੱਕੋ ਨਿਸ਼ਚਿਤ ਸੈੱਟ ਇੱਕੋ ਵਿਚਾਰ ਦੇ ਰੂਪ ਵਜੋਂ ਪੜ੍ਹੇ ਜਾਂਦੇ ਹਨ।
ਗੱਲਬਾਤ ਵਾਲਾ ਨਤੀਜਾ ਪੜ੍ਹੋ, ਫਿਰ ਰੁਕੋ
ਕਨਫਿਗਰ ਕੀਤਾ ਪ੍ਰਸਤਾਵ ਦੋ ਧਿਰਾਂ ਨੇ ਕੀ ਚੁਣਿਆ ਇਸਦਾ ਸਬੂਤ ਨਹੀਂ। ਜੀਵਤ ਸੈਸ਼ਨ ਜਵਾਬ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਹਰ ਮੁੱਖ ਲਾਗੂਕਰਨ ਪੈਕਟ ਫੜੇ ਬਿਨਾਂ ਇਸਦੀ ਰਿਪੋਰਟ ਕਰ ਸਕਦਾ ਹੈ।
openssl s_client -connect vpn.example.net:443 -brief
ipsec statusall
wg showਆਉਟਪੁੱਟ ਵਿੱਚ ਦਿੱਤੀ ਸੂਚੀ ਦੀ ਥਾਂ ਚੁਣੇ ਗਏ ਐਲਗੋਰਿਦਮ ਪੜ੍ਹੋ। ਜੇ ਜਵਾਬ ਨੀਤੀ ਦੇ ਇਰਾਦੇ ਨਾਲੋਂ ਕਮਜ਼ੋਰ ਹੈ, ਸੁਧਾਰ ਇੱਕ ਜਾਂ ਦੂਜੇ ਪਾਸੇ ਦੀ ਪ੍ਰਸਤਾਵ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਹੈ, ਅਤੇ ਆਧੁਨਿਕ ਲਾਗੂਕਰਨਾਂ ਵਿੱਚ ਅਸੰਗਤੀ ਆਮ ਤੌਰ ਤੇ ਚੁੱਪ ਘਟਾਓ ਨਹੀਂ ਸਗੋਂ ਅਸਫਲ ਗੱਲਬਾਤ ਵਜੋਂ ਦਿਸਦੀ ਹੈ।
ਫਿਰ ਯਾਦ ਰੱਖੋ ਸੂਟ ਕੀ ਕਵਰ ਨਹੀਂ ਕਰਦਾ। ਰੂਟ, ਐਪ ਇਜਾਜ਼ਤਾਂ, ਲੌਗਿੰਗ ਅਤੇ ਸੰਭਾਲ ਆਪਣੀ ਸਮੀਖਿਆ ਵਾਲੇ ਵੱਖਰੇ ਫੈਸਲੇ ਹਨ, ਅਤੇ ਅਨੁਕੂਲ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਬਣਤਰ ਉਨ੍ਹਾਂ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ। ਸਾਈਫਰ ਦੀ ਚਰਚਾ ਕਰਨ ਯੋਗ ਹੈ, ਪਰ ਇਹ ਉਸ ਸਵਾਲ ਨਾਲੋਂ ਤੰਗ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ ਜੋ ਜ਼ਿਆਦਾਤਰ ਲੋਕ ਅਸਲ ਵਿੱਚ ਪੁੱਛਦੇ ਹਨ।
ਸ਼ਬਦਾਵਲੀ ਸਟੀਕ ਰੱਖੋ ਅਤੇ ਦਲੀਲ ਛੋਟੀ ਹੋ ਜਾਂਦੀ ਹੈ। ਸੂਟ ਦਾ ਅਰਥ ਪਰਤ ਤੇ ਭੂਮਿਕਾਵਾਂ ਦਾ ਸਮੂਹ ਹੈ, ਸਾਈਫਰ ਇੱਕ ਹਿੱਸਾ ਹੈ, ਅਤੇ ਗੱਲਬਾਤ ਵਾਲਾ ਨਤੀਜਾ ਹੀ ਇੱਕੋ ਚੀਜ਼ ਹੈ ਜੋ ਤੁਹਾਡੇ ਕੋਲ ਅਸਲ ਵਿੱਚ ਮੌਜੂਦ ਕਨੈਕਸ਼ਨ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ। ਤੁਲਨਾ ਵਿੱਚ ਬਾਕੀ ਸਭ ਸਜਾਵਟ ਹੈ।