IKEv1 ਬਨਾਮ IKEv2 ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਨਾਲ: ਪ੍ਰਮਾਣਿਕਤਾ ਵਿੱਚ ਕੀ ਵੱਖਰਾ ਹੈ

ਇੱਕੋ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਨਾਲ ਸੈੱਟ ਕੀਤੇ ਦੋ ਗੇਟਵੇ ਹੈਂਡਸ਼ੇਕ ਪੂਰਾ ਕਰਦੇ ਹਨ, ਅਤੇ ਪੈਕਟ ਰਿਕਾਰਡ ਤਾਰ ਪਾਰ ਜਾਂਦਾ ਕੋਈ ਭੇਤ ਨਹੀਂ ਦਿਖਾਉਂਦਾ। ਇਹੀ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਲੋਕ ਯਾਦ ਰੱਖਦੇ ਹਨ। ਦਿਲਚਸਪ ਹਿੱਸਾ ਇਹ ਹੈ ਕਿ ਹਰ ਸੰਸਕਰਣ ਭੇਤ ਦੇ ਜਾਣੇ ਜਾਣ ਦਾ ਸਬੂਤ ਦੇਣ ਲਈ ਅਸਲ ਵਿੱਚ ਕੀ ਗਿਣਦਾ ਹੈ, ਕਿਉਂਕਿ IKEv1 ਅਤੇ IKEv2 ਉਹ ਸਬੂਤ ਵੱਖਰੇ ਇਨਪੁਟਾਂ ਤੋਂ ਬਣਾਉਂਦੇ ਹਨ ਅਤੇ ਇਸ ਦੌਰਾਨ ਵੱਖਰੀ ਜਾਣਕਾਰੀ ਜ਼ਾਹਰ ਕਰਦੇ ਹਨ। ਦੋਵੇਂ ਟਰੇਸ ਨਾਲ-ਨਾਲ ਪੜ੍ਹੋ ਅਤੇ ਫ਼ਰਕ ਦਿਖਾਵਟੀ ਰਹਿਣਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ।

ਸਬੂਤ ਨੇ ਕੀ ਹਾਸਲ ਕਰਨਾ ਹੈ

Diffie-Hellman ਦੋਵੇਂ ਧਿਰਾਂ ਨੂੰ ਇੱਕ ਸਾਂਝਾ ਮੁੱਲ ਦਿੰਦਾ ਹੈ ਜਿਸਦੇ ਜਨਤਕ ਅੱਧੇ ਹਿੱਸੇ ਦੀ ਗਿਣਤੀ ਵੇਖਣ ਵਾਲਾ ਕੋਈ ਵੀ ਕਰ ਸਕਦਾ ਹੈ। ਆਪਣੇ ਆਪ ਵਿੱਚ ਇਹ ਪਛਾਣ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ: ਕੁੰਜੀ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਪੂਰਾ ਕਰਨ ਵਾਲਾ ਹਮਲਾਵਰ ਤੁਹਾਡੇ ਗੇਟਵੇ ਵਰਗਾ ਹੀ ਸਾਂਝਾ ਮੁੱਲ ਰੱਖਦਾ ਹੈ। ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਕਦਮ ਉਸ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਨੂੰ ਅਜਿਹੇ ਭੇਤ ਨਾਲ ਬੰਨ੍ਹਣ ਲਈ ਹੈ ਜੋ ਸਿਰਫ਼ ਲੋੜੀਂਦੀਆਂ ਧਿਰਾਂ ਕੋਲ ਹੈ, ਅਤੇ ਉਨ੍ਹਾਂ ਪਛਾਣਾਂ ਤੇ ਮਾਪਦੰਡਾਂ ਨਾਲ ਵੀ ਜਿਨ੍ਹਾਂ ਉੱਤੇ ਉਹ ਸਹਿਮਤ ਹੋਏ।

ਇਹੀ ਬੰਧਨ ਕਾਰਨ ਹੈ ਕਿ ਹੈਸ਼ ਕੁੰਜੀ ਤੋਂ ਵੱਧ ਢਕਦਾ ਹੈ। ਜੇ ਇਹ ਸਿਰਫ਼ ਭੇਤ ਢਕਦਾ, ਤਾਂ ਹਮਲਾਵਰ ਇਸਨੂੰ ਵੱਖਰੀਆਂ ਪਛਾਣਾਂ ਜਾਂ ਪ੍ਰਸਤਾਵਾਂ ਵਾਲੇ ਦੂਜੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਵਿੱਚ ਦੁਬਾਰਾ ਚਲਾ ਸਕਦਾ ਸੀ।

IKEv1 Main Mode: SKEYID ਕੱਢੋ, ਫਿਰ ਸਾਬਤ ਕਰੋ

Main Mode ਛੇ ਸੁਨੇਹੇ ਚਲਾਉਂਦਾ ਹੈ। ਪਹਿਲੀ ਜੋੜੀ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਉੱਤੇ ਗੱਲਬਾਤ ਕਰਦੀ ਹੈ, ਦੂਜੀ Diffie-Hellman ਦੇ ਜਨਤਕ ਮੁੱਲ ਅਤੇ nonce ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਤੀਜੀ ਹੁਣੇ ਸਥਾਪਿਤ ਐਨਕ੍ਰਿਪਸ਼ਨ ਹੇਠ ਪਛਾਣਾਂ ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਹੈਸ਼ ਲੈ ਜਾਂਦੀ ਹੈ। RFC 2409 ਬਣਤਰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ: ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿੱਚ SKEYID ਭੇਤ ਅਤੇ ਦੋਵੇਂ nonce ਤੋਂ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਬਾਅਦ ਦੀ ਕੁੰਜੀ ਸਮੱਗਰੀ SKEYID, Diffie-Hellman ਦੇ ਸਾਂਝੇ ਮੁੱਲ, ਕੂਕੀਜ਼ ਅਤੇ ਸਥਿਰਾਂਕਾਂ ਤੋਂ।

ਪੰਜਵੇਂ ਅਤੇ ਛੇਵੇਂ ਸੁਨੇਹੇ ਵਿੱਚ ਹੈਸ਼ Diffie-Hellman ਮੁੱਲ, ਦੋ ਕੂਕੀਜ਼, ਪ੍ਰਸਤਾਵ ਅਤੇ ਭੇਜਣ ਵਾਲੇ ਦੀ ਪਛਾਣ ਉੱਤੇ SKEYID ਨੂੰ ਕੁੰਜੀ ਬਣਾ ਕੇ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ। ਪ੍ਰਾਪਤਕਰਤਾ ਇਸਨੂੰ ਆਪਣੇ ਸੈੱਟ ਕੀਤੇ ਭੇਤ ਨਾਲ ਦੁਬਾਰਾ ਗਿਣਦਾ ਹੈ। ਬੇਮੇਲ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਖ਼ਤਮ ਕਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਭੇਤ ਆਪ ਕਦੇ ਵੀ ਪੇਲੋਡ ਨਹੀਂ ਹੁੰਦਾ।

Aggressive Mode ਉਹੀ ਕੰਮ ਤਿੰਨ ਸੁਨੇਹਿਆਂ ਵਿੱਚ ਸਮੇਟ ਦਿੰਦਾ ਹੈ, ਭਾਵ ਪਛਾਣਾਂ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਹੈਸ਼ ਐਨਕ੍ਰਿਪਟਿਡ ਚੈਨਲ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਸਫ਼ਰ ਕਰਦੇ ਹਨ। ਇਹ ਅੰਦਾਜ਼ਾ ਲਾਉਣਯੋਗ ਭੇਤ ਲਈ ਅਸਲ ਖ਼ਤਰਾ ਹੈ, ਅਤੇ ਇਸ ਸਵਾਲ ਤੋਂ ਵੱਖਰਾ ਹੈ ਕਿ ਭੇਤ ਭੇਜਿਆ ਗਿਆ ਸੀ ਜਾਂ ਨਹੀਂ। IKEv1 ਨੂੰ RFC 9395 ਨੇ ਬਾਸੀ ਕਰ ਦਿੱਤਾ ਹੈ, ਇਸ ਲਈ ਪੁਰਾਣਾ ਟਰੇਸ ਨਿਦਾਨਕ ਅਭਿਆਸ ਹੈ, ਤੈਨਾਤੀ ਦਾ ਟੀਚਾ ਨਹੀਂ।

IKEv2: ਵੱਖਰੀ ਵਿਉਤਪਤੀ ਅਤੇ ਵੱਖਰਾ AUTH ਪੇਲੋਡ

IKEv2 IKEv1 ਦੀ ਕੁੰਜੀ ਸਮਾਂ-ਸਾਰਣੀ ਦੁਬਾਰਾ ਨਹੀਂ ਵਰਤਦਾ। ਸ਼ੁਰੂਆਤੀ IKE ਕੁੰਜੀਆਂ nonce ਅਤੇ Diffie-Hellman ਦੇ ਸਾਂਝੇ ਮੁੱਲ ਤੋਂ ਬਣੇ ਬੀਜ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ, ਅਤੇ ਸੰਤਾਨ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਉਸੇ ਤੋਂ ਵਿਉਤਪੰਨ ਹੁੰਦੇ ਹਨ। ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਬੀਜ ਨੂੰ ਬਿਲਕੁਲ ਨਹੀਂ ਪੋਸ਼ਦੀ।

ਫਿਰ ਪ੍ਰਮਾਣਿਕਤਾ AUTH ਪੇਲੋਡ ਵਜੋਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। ਸਾਂਝੀ ਕੁੰਜੀ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ RFC 7296 ਭੇਤ ਦਾ ਭਰਿਆ ਹੋਇਆ ਰੂਪ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ, ਜੋ ਭੇਤ ਨੂੰ ਸਥਿਰ ਸਤਰ ਨਾਲ ਹੈਸ਼ ਕਰਕੇ ਪ੍ਰਾਪਤ ਹੁੰਦਾ ਹੈ Key Pad for IKEv2, ਅਤੇ ਫਿਰ ਦਸਤਖ਼ਤ ਕੀਤਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਡੇਟਾ ਤੇ ਪਛਾਣ ਉਸ ਭਰੀ ਹੋਈ ਕੁੰਜੀ ਨਾਲ ਹੈਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸਤਿਆਪਕ ਉਹੀ ਮੁੱਲ ਦੁਬਾਰਾ ਬਣਾ ਸਕਦਾ ਹੈ; ਵੇਖਣ ਵਾਲਾ ਭੇਤ ਤੋਂ ਬਿਨਾਂ ਨਹੀਂ ਬਣਾ ਸਕਦਾ।

ਧਿਆਨ ਦਿਓ ਕੀ ਬਦਲਿਆ। IKEv1 ਵਿੱਚ ਭੇਤ ਪ੍ਰਮਾਣਿਕਤਾ ਹੈਸ਼ ਦੇ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਕੁੰਜੀ ਸਮਾਂ-ਸਾਰਣੀ ਵਿੱਚ ਮਿਲਾਇਆ ਜਾਂਦਾ ਹੈ; IKEv2 ਵਿੱਚ ਕੁੰਜੀ ਸਮਾਂ-ਸਾਰਣੀ ਭੇਤ ਤੋਂ ਆਜ਼ਾਦ ਹੈ ਅਤੇ ਸਬੂਤ ਦਸਤਖ਼ਤ ਕੀਤੇ ਆਕਟੈਟ ਨਾਲ ਬੱਝਾ ਵੱਖਰਾ ਪੇਲੋਡ ਹੈ। ਉਹੀ ਧਾਰਨਾਤਮਕ ਗਾਰੰਟੀ, ਵੱਖਰੀ ਮਸ਼ੀਨਰੀ, ਅਤੇ ਇਸੇ ਲਈ ਮਾਪਦੰਡਾਂ ਦੇ ਨਾਮ ਤੇ ਰਿਕਾਰਡ ਇੱਕ-ਦੂਜੇ ਨਾਲ ਨਹੀਂ ਮਿਲਦੇ।

ਵੇਖਣ ਵਾਲਾ ਅਸਲ ਵਿੱਚ ਕੀ ਸਿੱਖਦਾ ਹੈ

Diffie-Hellman ਦੇ ਜਨਤਕ ਮੁੱਲ, ਪ੍ਰਸਤਾਵ, nonce ਅਤੇ ਕੂਕੀਜ਼ ਦੋਵੇਂ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਦਿਖਦੇ ਹਨ। ਪਛਾਣਾਂ IKEv1 Aggressive Mode ਵਿੱਚ ਦਿਖਦੀਆਂ ਹਨ ਅਤੇ ਬਾਕੀ ਮਾਮਲਿਆਂ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਰਹਿੰਦੀਆਂ ਹਨ। ਭੇਤ ਕਦੇ ਨਹੀਂ ਦਿਖਦਾ।

ਉਸ ਆਖ਼ਰੀ ਵਾਕ ਦੀ ਇੱਕ ਹੱਦ ਹੈ ਜੋ ਦੱਸਣੀ ਚਾਹੀਦੀ ਹੈ। ਕਮਜ਼ੋਰ, ਮਨੁੱਖ ਵੱਲੋਂ ਚੁਣਿਆ ਭੇਤ ਅੰਦਾਜ਼ੇ ਨਾਲ ਹਮਲਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ: ਹਮਲਾਵਰ ਗਿਣਦਾ ਹੈ ਕਿ ਕਿਸੇ ਉਮੀਦਵਾਰ ਭੇਤ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਮੁੱਲ ਕੀ ਹੋਵੇਗਾ ਅਤੇ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। IKEv1 Aggressive Mode ਇਸਨੂੰ ਸਭ ਤੋਂ ਸਸਤਾ ਬਣਾਉਂਦਾ ਹੈ ਕਿਉਂਕਿ ਸਬੂਤ ਖੁੱਲ੍ਹਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਮਿਆਰ ਆਮ ਤੌਰ ਉੱਤੇ ਘੱਟ ਐਂਟਰੋਪੀ ਵਾਲੇ ਭੇਤਾਂ ਬਾਰੇ ਚੇਤਾਵਨੀ ਦਿੰਦੇ ਹਨ। ਭੇਤ ਕਦੇ ਨਾ ਭੇਜਣਾ ਮਾੜੇ ਭੇਤ ਨੂੰ ਸੁਰੱਖਿਅਤ ਬਣਾਉਣ ਦੇ ਬਰਾਬਰ ਨਹੀਂ।

ਇਸ ਤੁਲਨਾ ਦਾ ਕੀ ਕਰਨਾ ਹੈ

ਹਰ ਧਿਰ-ਜੋੜੀ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਭੇਤ ਵਰਤੋ, ਇਸਨੂੰ ਬੇਤਰਤੀਬ ਸਰੋਤ ਤੋਂ ਬਣਾਓ, ਅਤੇ ਉਸੇ ਸਪਲਾਈ ਮਾਰਗ ਰਾਹੀਂ ਬਦਲੋ ਜਿਸਨੇ ਇਸਨੂੰ ਵੰਡਿਆ। ਜੇ ਭੇਤ ਅਜਿਹੇ ਸੰਰਚਨਾ ਟੈਂਪਲੇਟ ਵਿੱਚ ਹੈ ਜੋ ਹਰ ਸ਼ਾਖਾ ਨੂੰ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇੱਕ ਥਾਂ ਦੀ ਉਲੰਘਣਾ ਹਰ ਥਾਂ ਦੀ ਉਲੰਘਣਾ ਹੈ।

ਜਿੱਥੇ ਕਾਰਜਸ਼ੀਲ ਲਾਗਤ ਸਵੀਕਾਰਯੋਗ ਹੈ ਉੱਥੇ ਸਰਟੀਫਿਕੇਟ-ਆਧਾਰਿਤ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਤਰਜੀਹ ਦਿਓ, ਕਿਉਂਕਿ ਇਹ ਸਾਂਝੇ ਭੇਤ ਦੇ ਅੰਦਾਜ਼ੇ ਦੀ ਸਮੱਸਿਆ ਹਟਾਉਂਦੀ ਹੈ ਅਤੇ ਹਰ ਧਿਰ ਨੂੰ ਵੱਖਰੀ ਪਛਾਣ ਦਿੰਦੀ ਹੈ। ਜਿੱਥੇ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਰਹਿੰਦੀ ਹੈ, ਉਸਨੂੰ ਲੰਬਾ ਰੱਖੋ, ਦਾਇਰਾ ਤੰਗ ਰੱਖੋ, ਅਤੇ IKE ਸੰਸਕਰਣ ਨੂੰ ਅੰਤਰ-ਸੰਚਾਲਨ ਦਾ ਵੇਰਵਾ ਨਹੀਂ ਬਲਕਿ ਸੁਰੱਖਿਆ ਫ਼ੈਸਲਾ ਮੰਨੋ।