ਕੀ ਤੁਹਾਨੂੰ ਦੋ VPN ਪਰਤਾਂ ਇਕੱਠੀਆਂ ਕਰਨੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ? ਜਾਂਚ ਲਈ ਤਿੰਨ ਸ਼ਰਤਾਂ

VPN ਵਿੱਚ ਦੂਜੀ ਇਨਕ੍ਰਿਪਸ਼ਨ ਪਰਤ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ, ਇੱਕ ਸਵਾਲ ਦਾ ਇਮਾਨਦਾਰੀ ਨਾਲ ਜਵਾਬ ਦਿਓ: ਦੋਵੇਂ ਪਰਤਾਂ ਆਪਣਾ ਕੰਮ ਕਰਨ ਤੋਂ ਬਾਅਦ ਵੀ ਨਿਰੀਖਕ ਕੋਲ ਕੀ ਬਚਦਾ ਹੈ? ਜੇ ਜਵਾਬ ਅੰਦਰਲਾ ਸਾਈਫਰਟੈਕਸਟ ਹੈ, ਬਿਨਾਂ ਬਦਲੇ, ਤਾਂ ਨੈਸਟਿੰਗ ਨੇ ਸਮਾਂ ਖਰੀਦਿਆ ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ। ਅੱਗੇ ਜੋ ਆਉਂਦਾ ਹੈ ਉਹ ਸਿਫ਼ਾਰਸ਼ ਨਹੀਂ, ਫ਼ੈਸਲੇ ਦੀ ਪ੍ਰਕਿਰਿਆ ਹੈ। ਉਹੀ ਚਿੱਤਰ ਇੱਕ ਤੈਨਾਤੀ ਵਿੱਚ ਬਰਬਾਦ ਪ੍ਰੋਸੈਸਰ ਹੈ ਅਤੇ ਦੂਜੀ ਵਿੱਚ ਸਹੀ ਜਵਾਬ, ਅਤੇ ਇਹਨਾਂ ਦੋਵਾਂ ਨੂੰ ਸਿਰਫ਼ ਤਿੰਨ ਸ਼ਰਤਾਂ ਵੱਖ ਕਰਦੀਆਂ ਹਨ।

ਨਿਰੀਖਕ ਕੀ ਰੱਖਦਾ ਹੈ ਲਿਖੋ

ਵਿਰੋਧੀ ਅੱਜ ਜੋ ਵਸਤੂ ਸਟੋਰ ਕਰ ਸਕਦਾ ਹੈ ਉਹ ਦਰਜ ਕਰੋ, ਅਤੇ ਫਿਰ ਉਹ ਹਟਾਉਣ ਦਾ ਕ੍ਰਮ ਜੋ ਅੰਤ ਵਿੱਚ ਸਪੱਸ਼ਟ ਪਾਠ ਖੋਲ੍ਹੇਗਾ। ਬਾਹਰੀ ਸੁਰੰਗ ਸਾਈਫਰਟੈਕਸਟ ਪੈਦਾ ਕਰਦੀ ਹੈ; ਜਦੋਂ ਉਸਦੀ ਸੁਰੱਖਿਆ ਖ਼ਤਮ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਜੋ ਬਚਦਾ ਹੈ ਉਹ ਅੰਦਰਲੀ ਸੁਰੰਗ ਦਾ ਸਾਈਫਰਟੈਕਸਟ ਹੈ, ਅਜੇ ਵੀ ਸੀਲਬੰਦ। ਆਵਰਣ ਹਟਾਉਣਾ ਡੀਕ੍ਰਿਪਸ਼ਨ ਨਹੀਂ ਹੈ। ਉਹ ਵਾਕ ਨੈਸਟਿੰਗ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਸਿਰਫ਼ ਤਦ ਤੱਕ ਸੱਚ ਹੈ ਜਿੰਨਾ ਚਿਰ ਅੰਦਰਲੀ ਕੁੰਜੀ ਬਚੀ ਰਹਿੰਦੀ ਹੈ। ਜਿਸ ਪਲ ਦੋਵੇਂ ਪਰਤਾਂ ਕੁਝ ਵੀ ਸਾਂਝਾ ਕਰਦੀਆਂ ਹਨ, ਉਸੇ ਪਲ ਸਮਾਂਰੇਖਾ ਇੱਕੋ ਘਟਨਾ ਵਿੱਚ ਢਹਿ ਜਾਂਦੀ ਹੈ।

ਇਸ ਲਈ ਲਾਭਦਾਇਕ ਕਲਾਕ੍ਰਿਤੀ ਸਮਾਂਰੇਖਾ ਹੈ, ਡੱਬਿਆਂ ਦਾ ਚਿੱਤਰ ਨਹੀਂ। ਹਰ ਪਰਤ ਲਈ ਅੰਤਿਮ ਬਿੰਦੂ, ਕੁੰਜੀ ਦਾ ਮਾਲਕ, ਪਛਾਣ ਜਾਂਚ ਅਤੇ ਉਹ ਸਾਲ ਲਿਖੋ ਜਦੋਂ ਧਾਰਨਾ ਦੇ ਫੇਲ੍ਹ ਹੋਣ ਦੀ ਉਮੀਦ ਹੈ।

ਆਪਣੇ ਹੀ ਦਾਅਵੇ ਨੂੰ ਪਰਖਣ ਦਾ ਵਿਵਹਾਰਕ ਤਰੀਕਾ: ਮੰਨ ਲਓ ਕਿ ਨਿਰੀਖਕ ਸਭ ਕੁਝ ਰਿਕਾਰਡ ਕਰਦਾ ਹੈ ਅਤੇ ਕਦੇ ਵੀ ਹਾਰ ਨਹੀਂ ਮੰਨਦਾ। ਉਸ ਧਾਰਨਾ ਹੇਠ, ਕੀ ਡਿਜ਼ਾਈਨ ਅਜੇ ਵੀ ਲੋੜੀਂਦੇ ਜੀਵਨਕਾਲ ਤੱਕ ਪੇਲੋਡ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ? ਜੇ ਜਵਾਬ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਹੈ ਕਿ ਨਿਰੀਖਕ ਟ੍ਰੈਫਿਕ ਸਟੋਰ ਨਾ ਕਰਨ ਦੀ ਚੋਣ ਕਰਦਾ ਹੈ, ਤਾਂ ਡਿਜ਼ਾਈਨ ਕੋਲ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਹੈ।

ਸ਼ਰਤ ਇੱਕ: ਕੀ ਪਰਤਾਂ ਵੱਖਰੇ ਥਾਵਾਂ 'ਤੇ ਰੁਕਦੀਆਂ ਹਨ?

ਨੈਸਟਿੰਗ ਲਾਹੇਵੰਦ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਦੋਵੇਂ ਪਰਤਾਂ ਵੱਖਰੇ ਭਰੋਸੇ ਖੇਤਰਾਂ ਵਿੱਚ ਖ਼ਤਮ ਹੁੰਦੀਆਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ ਪ੍ਰਦਾਤਾ ਵੱਲੋਂ ਪ੍ਰਬੰਧਿਤ IPsec ਗੇਟਵੇ ਦੇ ਸਾਹਮਣੇ ਤੁਹਾਡੇ ਆਪਣੇ ਨੈੱਟਵਰਕ ਅੰਦਰ ਖ਼ਤਮ ਹੁੰਦੀ ਐਪਲੀਕੇਸ਼ਨ-ਪੱਧਰੀ ਸੁਰੰਗ। ਤਦ ਬਾਹਰੀ ਪਰਤ ਤੋੜਨ ਨਾਲ ਅਜਿਹਾ ਸਾਈਫਰਟੈਕਸਟ ਮਿਲਦਾ ਹੈ ਜੋ ਸਿਰਫ਼ ਤੁਹਾਡਾ ਹੋਸਟ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਦਾਤਾ ਕਿਸੇ ਵੀ ਪਲ ਸਪੱਸ਼ਟ ਪਾਠ ਨਹੀਂ ਦੇਖਦਾ। ਦੋਵੇਂ ਪਰਤਾਂ ਇੱਕੋ ਗੇਟਵੇ 'ਤੇ ਰੱਖੋ ਅਤੇ ਉਹ ਗੁਣ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ। ਜੋ ਡੱਬਾ ਤੋੜਦਾ ਹੈ ਉਹ ਦੋਵੇਂ ਡੀਕ੍ਰਿਪਸ਼ਨ ਕਿਰਿਆਵਾਂ ਵਿਚਕਾਰਲਾ ਟ੍ਰੈਫਿਕ ਪੜ੍ਹਦਾ ਹੈ, ਚਿੱਤਰ ਭਾਵੇਂ ਕਿੰਨੇ ਆਵਰਣ ਦਿਖਾਏ।

ਇਹ ਡਿਜ਼ਾਈਨ ਨਾਲ ਨਹੀਂ, ਸਥਾਪਿਤ ਸਥਿਤੀ ਨਾਲ ਜਾਂਚੋ। Linux 'ਤੇ, ip xfrm state ਹਰ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਅਤੇ ਉਸਦੇ ਅੰਤਿਮ ਬਿੰਦੂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਜੋ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਹਰ ਪਰਤ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਰੁਕਦੀ ਹੈ।

ਸ਼ਰਤ ਦੋ: ਕੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਸੱਚਮੁੱਚ ਸੁਤੰਤਰ ਹੈ?

ਇੱਕ ਸਰਟੀਫਿਕੇਟ, ਇੱਕ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਜਾਂ ਇੱਕ ਵਿਕਰੇਤਾ ਲਾਇਬ੍ਰੇਰੀ ਤੋਂ ਬਣੀਆਂ ਦੋ ਪਰਤਾਂ ਵਾਧੂ ਕਦਮਾਂ ਵਾਲੀ ਇੱਕ ਪਰਤ ਹਨ। ਤਦ ਇੱਕ ਲੀਕ ਹੋਈ ਪਛਾਣ ਦੋਵੇਂ ਖੋਲ੍ਹਦੀ ਹੈ, ਅਤੇ ਇੱਕ ਲਾਗੂ ਕਰਨ ਦੀ ਗਲਤੀ ਦੋਵੇਂ ਇਕੱਠੀਆਂ ਹਟਾ ਦਿੰਦੀ ਹੈ। ਸੁਤੰਤਰਤਾ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਦਿਖਣੀ ਚਾਹੀਦੀ ਹੈ, ਸਲਾਈਡ 'ਤੇ ਦਾਅਵਾ ਨਹੀਂ।

ਇੱਥੇ ਹੀ ਹਾਈਬ੍ਰਿਡ ਕੁੰਜੀ ਸਥਾਪਨਾ ਸੁਰੰਗਾਂ ਨੂੰ ਢੇਰ ਲਾਉਣ ਤੋਂ ਅੱਗੇ ਹੈ। IKEv2 ਇੱਕ ਹੀ ਗੱਲਬਾਤ ਵਿੱਚ ਕਈ ਕੁੰਜੀ ਅਦਲ-ਬਦਲ ਲੈ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਕਲਾਸੀਕਲ ਸਮੂਹ ਅਤੇ ਇੱਕ ਪੋਸਟ-ਕੁਆਂਟਮ KEM ਦੋਵੇਂ ਇੱਕੋ ਸੈਸ਼ਨ ਕੁੰਜੀਆਂ ਭਰ ਸਕਦੇ ਹਨ, ਇੱਕ-ਦੂਜੇ ਦੁਆਲੇ ਲਪੇਟਣ ਦੀ ਥਾਂ। ਨਤੀਜਾ ਇੱਕ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਹੈ ਜਿਸਦੀਆਂ ਕੁੰਜੀਆਂ ਦੋਵੇਂ ਭੇਦਾਂ 'ਤੇ ਨਿਰਭਰ ਹਨ, ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਦੋਵੇਂ ਤੋੜਨੇ ਪੈਂਦੇ ਹਨ। ਇਹ ਪਰਿਭਾਸ਼ਿਤ ਬਣਤਰ ਵਾਲੀ ਦਸਤਾਵੇਜ਼ੀ ਉਸਾਰੀ ਹੈ, ਜੋ ਦੋ VPN ਉਤਪਾਦਾਂ ਦਾ ਘਰੇਲੂ ਢੇਰ ਨਹੀਂ ਹੈ। strongSwan 'ਤੇ, swanctl --list-sas ਹਰ SA ਲਈ ਗੱਲਬਾਤ ਕੀਤਾ ਪ੍ਰਸਤਾਵ ਛਾਪਦਾ ਹੈ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਤੁਸੀਂ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹੋ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਚੱਲਿਆ, ਇਹ ਨਹੀਂ ਕਿ ਤੁਸੀਂ ਕੀ ਕਨਫਿਗਰ ਕੀਤਾ।

ਸ਼ਰਤ ਤਿੰਨ: ਕੀ ਡੇਟਾ ਬਾਹਰੀ ਧਾਰਨਾ ਤੋਂ ਵੱਧ ਜੀਵੰਦਾ ਰਹਿੰਦਾ ਹੈ?

ਜਿਸ ਪਰਤ ਨੂੰ ਵੀਹ ਸਾਲ ਟਿਕਣਾ ਹੈ ਉਸਨੂੰ ਵੀਹ ਸਾਲ ਦੀ ਦਲੀਲ ਚਾਹੀਦੀ ਹੈ। ਹੁਣ ਰਿਕਾਰਡ ਕਰਕੇ ਬਾਅਦ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟ ਕਰਨਾ ਸਸਤਾ ਹੈ, ਅਤੇ ਇਸੇ ਲਈ ਕਲਾਸੀਕਲ ਬਾਹਰੀ ਪਰਤ ਨੂੰ ਕਿਸੇ ਵਧੇਰੇ ਮਜ਼ਬੂਤ ਚੀਜ਼ ਦੁਆਲੇ ਅਸਥਾਈ ਆਵਰਣ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ।

ਹਰ ਕੁੰਜੀ ਕਦੋਂ ਮੁੜ-ਪ੍ਰਾਪਤ ਕਰਨ ਯੋਗ ਹੁੰਦੀ ਹੈ ਪੁੱਛੋ, ਇਹ ਨਹੀਂ ਕਿ ਸਾਈਫਰ ਅੱਜ ਟੁੱਟਿਆ ਹੈ ਜਾਂ ਨਹੀਂ। ਅਗਾਂਹਵਧੂ ਗੁਪਤਤਾ ਤੋਂ ਬਿਨਾਂ ਸਥਿਰ ਕੁੰਜੀ ਅਦਲ-ਬਦਲ ਉਸ ਦਿਨ ਪਿਛਲੇ ਪੱਖੋਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਨਿੱਜੀ ਕੁੰਜੀ ਡਿੱਗਦੀ ਹੈ। ਕੁਝ-ਚਿਰੀ ਕੁੰਜੀ ਸਮਝੌਤਾ ਸਿਰਫ਼ ਉਹਨਾਂ ਸੈਸ਼ਨਾਂ ਲਈ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ 'ਤੇ ਹਮਲਾਵਰ ਉਹਨਾਂ ਦੇ ਜੀਵਿਤ ਰਹਿੰਦਿਆਂ ਹਮਲਾ ਕਰ ਸਕਦਾ ਹੈ, ਜਾਂ ਜਦੋਂ ਐਲਗੋਰਿਦਮ ਆਪਣੇ ਆਪ ਕਮਜ਼ੋਰ ਹੁੰਦਾ ਹੈ। ਉਹ ਅੰਤਰ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਅੰਦਰਲੀ ਪਰਤ 2040 ਵਿੱਚ ਅਜੇ ਵੀ ਮਦਦ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਹ ਇਹ ਵੀ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਬਾਹਰੀ ਪਰਤ ਕੁਝ ਵੀ ਬਦਲਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਕਮਜ਼ੋਰ ਕੁੰਜੀ-ਉਮਰ ਵਾਲੀ ਬਾਹਰੀ ਪਰਤ ਬੱਸ ਸਮਾਂਰੇਖਾ ਦਾ ਸਭ ਤੋਂ ਪਹਿਲਾ ਬਿੰਦੂ ਬਣ ਜਾਂਦੀ ਹੈ।

ਜਵਾਬ ਨਾਂਹ ਹੋਣ 'ਤੇ ਇਸਦੀ ਥਾਂ ਕੀ ਬਣਾਉਣਾ

ਜੇ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸ਼ਰਤ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਨੈਸਟਿੰਗ ਛੱਡ ਦਿਓ ਅਤੇ ਯਤਨ ਉਸ ਪਰਤ 'ਤੇ ਖਰਚੋ ਜੋ ਸੱਚਮੁੱਚ ਉਮਰ ਦੀ ਲੋੜ ਚੁੱਕਦੀ ਹੈ। ਜਿਹੜਾ ਪ੍ਰੋਟੋਕੋਲ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਚਲਾ ਰਹੇ ਹੋ ਉਸ ਵਿੱਚ ਹਾਈਬ੍ਰਿਡ ਕੁੰਜੀ ਅਦਲ-ਬਦਲ ਕਨਫਿਗਰ ਕਰੋ, ਲਾਗੂ ਕਰਨ ਨੂੰ ਅਦਿਆਤਨ ਰੱਖੋ, ਅਤੇ ਜਿਸ ਬਣਤਰ 'ਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਕਰਦੇ ਹੋ ਉਹ ਲਿਖੋ। ਡਿਜ਼ਾਈਨ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ML-KEM ਦਾ ਨਾਮ ਲੈਣਾ ਸੁਰੱਖਿਆ ਗੁਣ ਨਹੀਂ ਹੈ, ਅਤੇ FIPS 203 ਕੁੰਜੀ-ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਕਾਰਜਵਿਧੀ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਤੁਹਾਡੀ ਸੁਰੰਗ ਨਹੀਂ।

ਜਿੱਥੇ ਦੂਜੀ ਪਰਤ ਸੱਚਮੁੱਚ ਆਪਣੀ ਥਾਂ ਕਮਾਉਂਦੀ ਹੈ, ਉੱਥੇ ਇਸਨੂੰ ਸਬੂਤ ਵਜੋਂ ਨਹੀਂ, ਡੂੰਘਾਈ ਵਿੱਚ ਬਚਾਅ ਵਜੋਂ ਬਿਆਨ ਕਰੋ। ਫਿਰ ਬਣਤਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ: ਕਿਹੜਾ ਅੰਤਿਮ ਬਿੰਦੂ ਕਿਹੜੀ ਕੁੰਜੀ ਰੱਖਦਾ ਹੈ, ਹਰ ਪਾਸਾ ਕਿਹੜੀ ਪਛਾਣ ਜਾਂਚਦਾ ਹੈ, ਅਤੇ ਕੰਸੋਲ ਪਹੁੰਚ ਵਾਲਾ ਓਪਰੇਟਰ ਕੀ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਉਹਨਾਂ ਤਿੰਨ ਸਵਾਲਾਂ ਨੂੰ ਝੱਲਣ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਵਾਧੂ ਪ੍ਰੋਸੈਸਰ ਦੇ ਯੋਗ ਹੈ। ਜੋ ਨਹੀਂ ਝੱਲਦਾ ਉਹ ਸਿਰਫ਼ ਚਿੱਤਰ ਹੈ।

ਤਬਦੀਲੀ ਵਿੰਡੋ ਤੋਂ ਪਹਿਲਾਂ ਮੌਜੂਦਾ SA ਸਾਰਣੀ ਅਤੇ ਗੱਲਬਾਤ ਕੀਤੇ ਪ੍ਰਸਤਾਵ ਕੈਪਚਰ ਕਰੋ, ਅਤੇ ਇਸ ਤੋਂ ਬਾਅਦ ਦੁਬਾਰਾ ਕੈਪਚਰ ਕਰਕੇ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਮਹੱਤਵਪੂਰਨ ਇੱਕੋ ਸਬੂਤ ਇਹ ਹੈ ਕਿ ਡਿਵਾਈਸਾਂ ਅਸਲ ਵਿੱਚ ਕਿਸ ਗੱਲ 'ਤੇ ਸਹਿਮਤ ਹੋਈਆਂ।