tls-auth ਬਨਾਮ tls-crypt: OpenVPN ਵਿੱਚ ਹਰ ਇੱਕ ਕੀ ਸੁਰੱਖਿਅਤ ਕਰਦਾ ਹੈ

ਦੋਵੇਂ ਵਿਕਲਪ ਇੱਕ ਸਾਂਝੀ ਕੁੰਜੀ ਫਾਈਲ ਵਰਤਦੇ ਹਨ ਅਤੇ ਦੋਵੇਂ ਹੈਂਡਸ਼ੇਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਨਕਲੀ ਬਣਾਉਣਾ ਔਖਾ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਇਨ੍ਹਾਂ ਨੂੰ ਇੱਕੋ ਵਿਸ਼ੇਸ਼ਤਾ ਦੇ ਦੋ ਨਾਮ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਠੀਕ ਨਹੀਂ। ਇੱਕ ਨਿਯੰਤਰਣ ਪੈਕਟਾਂ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ, ਦੂਜਾ ਉਨ੍ਹਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਵੀ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੋਵਾਂ ਦਾ ਤੁਹਾਡੇ ਪੇਲੋਡ ਦੀ ਸੁਰੱਖਿਆ ਕਰਨ ਵਾਲੇ ਸਾਈਫਰ ਨਾਲ ਕੋਈ ਸਬੰਧ ਨਹੀਂ।

ਇਹ ਫ਼ਰਕ ਉਦੋਂ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਪ੍ਰੋਫ਼ਾਈਲ ਕਨੈਕਟ ਨਹੀਂ ਹੁੰਦਾ, ਜਦੋਂ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਪੁੱਛਦੀ ਹੈ ਕਿ ਕੁੰਜੀ ਕੀ ਸੁਰੱਖਿਅਤ ਕਰਦੀ ਹੈ, ਅਤੇ ਜਦੋਂ ਕੋਈ ਮੰਨ ਲੈਂਦਾ ਹੈ ਕਿ ਵਾਧੂ ਫਾਈਲ ਟਨਲ ਨੂੰ ਕਿਸੇ ਅਸਪਸ਼ਟ ਢੰਗ ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਕਰ ਦਿੰਦੀ ਹੈ।

ਸਾਂਝੀ ਕੁੰਜੀ ਅਸਲ ਵਿੱਚ ਕੀ ਸੁਰੱਖਿਅਤ ਕਰਦੀ ਹੈ

ਇਹ ਵਿਕਲਪ ਜੋ ਕੁੰਜੀ ਵਰਤਦੇ ਹਨ ਉਹ ਨਿਯੰਤਰਣ ਚੈਨਲ ਦੀ ਹੈ: ਉਹ ਵਟਾਂਦਰਾ ਜੋ ਪੈਰਾਮੀਟਰਾਂ ਉੱਤੇ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ, ਪਛਾਣ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਡੇਟਾ ਕੁੰਜੀਆਂ ਕੱਢਦਾ ਹੈ। ਇਹ ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝਾ ਕੀਤਾ ਭੇਤ ਹੈ ਜੋ ਹੈਂਡਸ਼ੇਕ ਅੱਗੇ ਵਧਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵਾਂ ਸਿਰਿਆਂ ਕੋਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਕਿਉਂਕਿ ਇਹ ਪਛਾਣ ਜਾਂਚ ਤੋਂ ਪਹਿਲਾਂ ਹੁੰਦਾ ਹੈ, ਗ਼ਲਤ ਕੁੰਜੀ ਗ਼ਲਤ ਪਾਸਵਰਡ ਨਾਲੋਂ ਵੀ ਪਹਿਲਾਂ ਗੱਲਬਾਤ ਰੋਕ ਦਿੰਦੀ ਹੈ। ਇਹੀ ਕ੍ਰਮ ਦੱਸਦਾ ਹੈ ਕਿ ਅਸਫਲਤਾ ਦਾ ਢੰਗ ਇੰਨਾ ਚੁੱਪ ਕਿਉਂ ਹੈ।

tls-auth ਉਸ ਭੇਤ ਦੀ ਵਰਤੋਂ ਨਿਯੰਤਰਣ ਪੈਕਟਾਂ ਉੱਤੇ HMAC ਗਿਣਨ ਲਈ ਕਰਦਾ ਹੈ। ਵੈਧ ਦਸਤਖ਼ਤ ਤੋਂ ਬਿਨਾਂ ਪੈਕਟ ਵਧੇਰੇ ਮਹਿੰਗੀ TLS ਪ੍ਰੋਸੈਸਿੰਗ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਇਸ ਵਿਕਲਪ ਨੂੰ ਅਕਸਰ TLS ਦਾ ਬਦਲ ਨਹੀਂ, ਸਗੋਂ ਪਹਿਲਾ ਫਿਲਟਰ ਕਿਹਾ ਜਾਂਦਾ ਹੈ।

tls-crypt ਹੋਰ ਅੱਗੇ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸੁਰੱਖਿਅਤ ਨਿਯੰਤਰਣ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਦੇ ਨਾਲ-ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਵੀ ਕਰਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਸਮੱਗਰੀ, ਤੈਅ ਕੀਤੇ ਸਾਈਫਰ ਨਾਮ ਅਤੇ ਹੈਂਡਸ਼ੇਕ ਦੀਆਂ ਹੋਰ ਵੇਰਵੇ ਹੁਣ ਨੈੱਟਵਰਕ ਉੱਤੇ ਨਹੀਂ ਦਿਸਦੇ, ਅਤੇ ਕੁੰਜੀ ਤੋਂ ਬਿਨਾਂ ਦੇਖਣ ਵਾਲੇ ਨੂੰ ਇਹ ਵੀ ਨਹੀਂ ਦਿਸਦਾ ਕਿ ਕਿਹੜਾ TLS ਸੰਸਕਰਣ ਅਜ਼ਮਾਇਆ ਜਾ ਰਿਹਾ ਹੈ। ਜਿਸ ਤੈਨਾਤੀ ਨੂੰ ਆਪਣੀ VPN ਪਛਾਣ ਖੁੱਲ੍ਹਣ ਦਾ ਡਰ ਹੈ, ਉਸ ਲਈ ਇਹੀ ਗੁਣ ਇਸ ਨੂੰ ਚੁਣਨ ਦਾ ਮੁੱਖ ਕਾਰਨ ਹੈ। ਇਹ ਫਿਰ ਵੀ ਸਮੂਹ ਭੇਤ ਹੈ, ਪ੍ਰਤੀ ਵਰਤੋਂਕਾਰ ਪ੍ਰਮਾਣ ਨਹੀਂ।

ਕੋਈ ਵੀ ਵਿਧੀ ਪਛਾਣ ਜਾਰੀ ਨਹੀਂ ਕਰਦੀ। ਸਾਂਝੀ ਕੁੰਜੀ ਸਮੂਹ ਭੇਤ ਹੈ, ਅਤੇ ਜਿਸ ਕੋਲ ਇਹ ਹੈ ਉਹ ਜਾਂਚ ਦੀ ਉਸ ਪਰਤ ਨੂੰ ਪੂਰਾ ਕਰ ਸਕਦਾ ਹੈ।

ਦੋਵੇਂ ਵਿਕਲਪ ਕਿੱਥੇ ਵੱਖਰੇ ਹਨ

ਦਿੱਸਣ ਵਾਲਾ ਫ਼ਰਕ ਇਹ ਹੈ ਕਿ ਦੇਖਣ ਵਾਲਾ ਕੀ ਦੇਖਦਾ ਹੈ। tls-auth ਨਾਲ ਹੈਂਡਸ਼ੇਕ ਦਿਸਦਾ ਹੈ ਪਰ ਕੁੰਜੀ ਤੋਂ ਬਿਨਾਂ ਜਾਂਚਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ। tls-crypt ਨਾਲ ਹੈਂਡਸ਼ੇਕ ਕੁੰਜੀ ਨਾ ਰੱਖਣ ਵਾਲੇ ਹਰ ਵਿਅਕਤੀ ਲਈ ਅਸਪਸ਼ਟ ਹੈ।

ਸੰਰਚਨਾ ਵੀ ਵੱਖਰੀ ਹੈ। tls-auth ਦਿਸ਼ਾ ਮੁੱਲ ਨਾਲ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਪਾਸਾ ਕੁੰਜੀ ਸਮੱਗਰੀ ਦਾ ਅੱਧਾ ਹਿੱਸਾ ਵਰਤਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਪਾਸਾ ਬਾਕੀ ਅੱਧਾ। tls-crypt ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਇੱਕੋ ਕੁੰਜੀ ਵਰਤਦਾ ਹੈ, ਇਸ ਲਈ ਦਿਸ਼ਾ ਹਿਦਾਇਤ ਇਸ ਦੀ ਬਣਤਰ ਦਾ ਹਿੱਸਾ ਨਹੀਂ।

ਆਧੁਨਿਕ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਦੋਵੇਂ ਵਿਕਲਪ ਇੱਕ ਦੂਜੇ ਨੂੰ ਰੱਦ ਕਰਦੇ ਹਨ। ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਦੋਵੇਂ ਨਹੀਂ, ਅਤੇ ਸਰਵਰ ਤੇ ਕਲਾਇੰਟ ਨੂੰ ਇੱਕੋ ਜਿਹੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਨਾਲ ਸਹਿਮਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਕਿਹੜਾ। ਪੁਰਾਣੀ ਹਿਦਾਇਤ ਨੂੰ ਨਵੀਂ ਦੇ ਕੋਲ ਰੱਖਣਾ ਆਮ ਮਾਈਗ੍ਰੇਸ਼ਨ ਬਚਿਆ ਹਿੱਸਾ ਹੈ। ਨਿਸ਼ਕਿਰਿਆ ਨੂੰ ਹਟਾ ਦਿਓ ਤਾਂ ਜੋ ਅਗਲੇ ਪਾਠਕ ਨੂੰ ਪਤਾ ਲੱਗੇ ਕਿ ਕਿਹੜੀ ਪਰਤ ਅਸਲ ਵਿੱਚ ਲਾਗੂ ਹੈ।

ਇੱਕ ਨਵਾਂ ਰੂਪ, tls-crypt-v2, ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਉਸ ਦੀ ਆਪਣੀ ਲਪੇਟੀ ਕੁੰਜੀ ਨਾਲ ਬੰਨ੍ਹਦਾ ਹੈ ਤਾਂ ਜੋ ਇੱਕ ਕਲਾਇੰਟ ਰੱਦ ਕਰਨ ਲਈ ਸਮੂਹ ਕੁੰਜੀ ਮੁੜ ਜਾਰੀ ਨਾ ਕਰਨੀ ਪਵੇ। ਇਹ ਜਾਣਨ ਯੋਗ ਹੈ, ਪਰ ਇਹ ਵੱਖਰਾ ਵਿਕਲਪ ਹੈ ਅਤੇ ਇੱਥੋਂ ਦੇ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਦਾ ਸਮਾਨਾਰਥੀ ਨਹੀਂ।

ਬੇਮੇਲਤਾ ਕਿਉਂ ਇੰਝ ਲੱਗਦੀ ਹੈ ਜਿਵੇਂ ਕੁਝ ਹੋ ਹੀ ਨਾ ਰਿਹਾ ਹੋਵੇ

ਜਦੋਂ ਸਾਂਝੀ ਸਮੱਗਰੀ ਮੇਲ ਨਹੀਂ ਖਾਂਦੀ, ਸਾਹਮਣਾ ਸਿਰਾ ਭੇਜਣ ਵਾਲੇ ਨੂੰ ਕਾਰਨ ਦੱਸੇ ਬਿਨਾਂ ਪੈਕਟ ਸੁੱਟ ਦਿੰਦਾ ਹੈ। ਪੜ੍ਹਨ ਲਈ ਕੋਈ ਪ੍ਰਮਾਣੀਕਰਨ ਗ਼ਲਤੀ ਨਹੀਂ ਹੁੰਦੀ, ਕਿਉਂਕਿ ਪੈਕਟ ਉਸ ਪਰਤ ਤੱਕ ਕਦੇ ਪਹੁੰਚਿਆ ਹੀ ਨਹੀਂ ਜੋ ਇਹ ਪੈਦਾ ਕਰਦੀ।

ਕਲਾਇੰਟ ਮੁੜ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਸਰਵਰ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਅਤੇ ਲੱਛਣ ਨੈੱਟਵਰਕ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਦਾ ਹੈ। ਫਿਰ ਲੋਕ ਸੇਵਾ ਮੁੜ ਚਾਲੂ ਕਰਦੇ ਹਨ, ਖਾਤੇ ਦਾ ਪਾਸਵਰਡ ਮੁੜ ਲਿਖਦੇ ਹਨ, ਜਾਂ «ਜਾਂਚ» ਲਈ ਸੁਰੱਖਿਆ ਹਿਦਾਇਤ ਹਟਾ ਦਿੰਦੇ ਹਨ, ਜੋ ਨਿਦਾਨ ਕਰਨ ਦੀ ਥਾਂ ਤੈਨਾਤੀ ਬਦਲ ਦਿੰਦਾ ਹੈ।

ਸਰਵਰ ਲੌਗ ਵਿੱਚ ਆਖਰੀ ਮੁੜ-ਕੋਸ਼ਿਸ਼ ਲਾਈਨ ਦੀ ਥਾਂ ਪੈਕਟ-ਪੱਧਰੀ ਪਹਿਲੀ ਸ਼ਿਕਾਇਤ ਪੜ੍ਹੋ। ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਦੋਵੇਂ ਪਾਸੇ ਇੱਕੋ ਕੁੰਜੀ ਸਮੱਗਰੀ ਨਾਲ ਉਹੀ ਵਿਕਲਪ ਰੱਖਦੇ ਹਨ ਅਤੇ ਕੁੰਜੀ ਫਾਈਲ ਸਿਰਫ਼ ਇੱਕ ਪਾਸੇ ਮੁੜ ਨਹੀਂ ਬਣੀ।

ਹਿਦਾਇਤ ਹਟਾਉਣਾ ਸੁਰੱਖਿਅਤ ਮੁਰੰਮਤ ਨਹੀਂ ਹੈ। ਇਹ ਹਰ ਕਲਾਇੰਟ ਲਈ ਸੁਰੱਖਿਆ ਦੀ ਇੱਕ ਪਰਤ ਬੰਦ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਚੱਲਣ ਵਾਲੀ ਟਨਲ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਉਹੀ ਪਰਤ ਬੇਮੇਲਤਾ ਸੀ।

ਹਾਲੇ ਵੀ ਕੀ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਸੰਰਚਿਤ ਕਰਨਾ ਹੈ

ਇਹ ਵਿਕਲਪ ਇਹ ਨਹੀਂ ਜਾਂਚਦੇ ਕਿ ਸਾਹਮਣਾ ਸਿਰਾ ਕੌਣ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ, ਭਰੋਸਾ ਆਧਾਰ ਅਤੇ ਉਮੀਦ ਕੀਤਾ ਸਰਵਰ ਨਾਮ ਵੱਖਰੀਆਂ ਲੋੜਾਂ ਰਹਿੰਦੇ ਹਨ, ਅਤੇ ਸਾਂਝੀ ਕੁੰਜੀ ਹੋਣ ਕਾਰਨ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਵਿਕਲਪਿਕ ਨਹੀਂ ਬਣਦਾ।

ਇਹ ਡੇਟਾ ਸਾਈਫਰ ਵੀ ਨਹੀਂ ਚੁਣਦੇ। ਉਹ ਦੋਵਾਂ ਸਿਰਿਆਂ ਦੀਆਂ ਡੇਟਾ-ਚੈਨਲ ਸੈਟਿੰਗਾਂ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਵੱਖਰੀ ਗੱਲਬਾਤ ਹੈ, ਅਤੇ tls-crypt ਨਾਲ ਸੁਰੱਖਿਅਤ ਟਨਲ ਵੀ ਅਜਿਹਾ ਸਾਈਫਰ ਵਰਤ ਸਕਦੀ ਹੈ ਜੋ ਤੁਸੀਂ ਨਹੀਂ ਸੋਚਿਆ ਸੀ।

ਅੰਤ ਵਿੱਚ, ਸਾਂਝੀ ਕੁੰਜੀ ਨੂੰ ਆਪਣੀ ਸੰਭਾਲ ਚਾਹੀਦੀ ਹੈ। ਇਸ ਨੂੰ ਭੇਤ ਮੰਨੋ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਚੈਨਲ ਰਾਹੀਂ ਵੰਡੋ, ਅਤੇ ਜਦੋਂ ਇਹ ਰੱਖਣ ਵਾਲਾ ਕੋਈ ਵੀ ਜਾਵੇ ਤਾਂ ਇਸ ਨੂੰ ਬਦਲ ਦਿਓ। ਕਿਉਂਕਿ ਇਹ ਸਾਂਝੀ ਹੈ, ਇਸ ਦਾ ਖੁੱਲ੍ਹਣਾ ਇਸ ਨੂੰ ਵਰਤਣ ਵਾਲੇ ਹਰ ਸਿਰੇ ਦਾ ਖੁੱਲ੍ਹਣਾ ਹੈ।