IPsec, OpenVPN ਅਤੇ WireGuard ਵਿੱਚ ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝੀ ਚਾਬੀ ਕੀ ਕਰਦੀ ਹੈ

ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝੀ ਚਾਬੀ ਸ਼ਬਦ IPsec, OpenVPN ਅਤੇ WireGuard ਦੇ ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਆਉਂਦੇ ਹਨ, ਪਰ ਤਿੰਨ ਵੱਖਰੀਆਂ ਚੀਜ਼ਾਂ ਦੱਸਦੇ ਹਨ। ਇੱਕ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਭੇਤ ਹੈ, ਦੂਜੀ ਇੱਕ ਨਿਯੰਤਰਣ ਚੈਨਲ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ, ਅਤੇ ਤੀਜੀ ਪਹਿਲਾਂ ਹੀ ਪਛਾਣ ਵਾਲੇ ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਸਮੱਗਰੀ ਜੋੜਦੀ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਬਦਲਣਯੋਗ ਮੰਨਣਾ ਇੱਕ ਅਜਿਹਾ ਕਨੈਕਸ਼ਨ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਕਿਸੇ ਦੀ ਉਮੀਦ ਨਾ ਰੱਖੇ ਪੜਾਅ 'ਤੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ। ਮੁੱਲ ਕਾਪੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਉਹ ਖੇਤਰ ਉਸ ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਕੀ ਕਰਦਾ ਹੈ।

ਤਿੰਨ ਪ੍ਰੋਟੋਕੋਲ, ਤਿੰਨ ਅਰਥ

ਹਰ ਪ੍ਰੋਟੋਕੋਲ ਚਾਬੀ ਦਾ ਕੰਮ ਆਪਣੀ ਵਿਸ਼ੇਸ਼ਤਾ ਵਿੱਚ ਤੈਅ ਕਰਦਾ ਹੈ ਅਤੇ ਇਹ ਕੰਮ ਇੱਕ ਦੂਜੇ ਉੱਤੇ ਨਹੀਂ ਚੜ੍ਹਦੇ। ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਭੇਤ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਦੋ ਧਿਰਾਂ ਇੱਕੋ ਮੁੱਲ ਜਾਣਦੀਆਂ ਹਨ। ਨਿਯੰਤਰਣ ਚੈਨਲ ਦੀ ਚਾਬੀ ਅਗਲੀ ਗੱਲਬਾਤ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ। ਹੈਂਡਸ਼ੇਕ ਦਾ ਵਾਧਾ ਚਾਬੀ ਸਮਾਂ-ਸਾਰਣੀ ਬਦਲਦਾ ਹੈ ਪਰ ਇਹ ਨਹੀਂ ਬਦਲਦਾ ਕਿ ਧਿਰਾਂ ਕੌਣ ਹਨ।

ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਭੂਮਿਕਾ ਕਿਸੇ ਇਨਸਾਨ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰਦੀ, ਅਤੇ ਸਭ ਤੋਂ ਵੱਧ ਸਮਾਂ ਇਹੀ ਉਲਝਣ ਲੈਂਦੀ ਹੈ। ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝੀ ਚਾਬੀ ਅਦਲਾ-ਬਦਲੀ ਤੋਂ ਪਹਿਲਾਂ ਡਿਵਾਈਸਾਂ ਜਾਂ ਗੇਟਵੇ 'ਤੇ ਰੱਖੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਹਰ ਧਾਰਕ ਦੂਜੀ ਧਿਰ ਨੂੰ ਇੱਕੋ ਜਿਹਾ ਦਿਸਦਾ ਹੈ। ਇਹ ਗੁਣ ਦੋ ਰਾਊਟਰਾਂ ਵਿਚਕਾਰ ਲਿੰਕ ਲਈ ਲਾਭ ਹੈ ਅਤੇ ਨਾਮਿਤ ਕਰਮਚਾਰੀਆਂ ਵਾਲੀ ਦੂਰ-ਪਹੁੰਚ ਸੇਵਾ ਲਈ ਜੋਖਮ। ਖਾਤੇ ਦੀ ਪਛਾਣ ਅਤੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਭੇਤ ਨੂੰ ਤੈਨਾਤੀ ਦਾ ਵਰਣਨ ਕਰਨ ਵਾਲੇ ਦਸਤਾਵੇਜ਼ ਦੇ ਵੱਖਰੇ ਕਾਲਮਾਂ ਵਿੱਚ ਰੱਖੋ।

IPsec ਅਤੇ OpenVPN ਇਹ ਸ਼ਬਦ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਵਰਤਦੇ ਹਨ

IKEv2 ਕਿਸੇ ਧਿਰ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਥਾਂ ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝੇ ਭੇਤ ਨਾਲ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਮੁੱਲ ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਕਿਉਂਕਿ ਉਹੀ ਭੇਤ ਆਮ ਤੌਰ 'ਤੇ ਧਿਰਾਂ ਦੇ ਸਮੂਹ ਲਈ ਸੈੱਟ ਹੁੰਦਾ ਹੈ, ਕੋਈ ਵੀ ਧਾਰਕ ਬਾਕੀਆਂ ਦਾ ਰੂਪ ਧਾਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਅਦਲਾ-ਬਦਲੀ ਨੂੰ ਕਦੇ ਨਾ ਰਹੀਆਂ ਪਛਾਣ ਚਾਬੀਆਂ ਤੋਂ ਅੱਗੇ ਦੀ ਗੋਪਨੀਯਤਾ ਨਹੀਂ ਮਿਲਦੀ।

OpenVPN ਦੇ tls-auth ਅਤੇ tls-crypt ਵਿਕਲਪ ਨਿਯੰਤਰਣ ਚੈਨਲ ਨਾਲ ਸਥਿਰ ਚਾਬੀ ਜੋੜਦੇ ਹਨ, ਜਾਂ HMAC ਦਸਤਖ਼ਤ ਵਧਾਉਂਦੇ ਹਨ ਜਾਂ ਖੁਦ ਗੱਲਬਾਤ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦੇ ਹਨ। ਉਹ ਚਾਬੀ ਵਰਤੋਂਕਾਰ ਪਾਸਵਰਡ ਨਹੀਂ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ। ਦੋਹਾਂ ਵਿੱਚ ਫਰਕ ਨਵੀਨੀਕਰਨ ਵੇਲੇ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਜਦੋਂ ਪਾਸਵਰਡ ਬਦਲਣ ਨਾਲ ਨਿਯੰਤਰਣ ਚੈਨਲ ਦੀ ਚਾਬੀ ਅਛੂਤ ਰਹਿੰਦੀ ਹੈ।

WireGuard ਦੀ PSK ਵਧਾਉਂਦੀ ਹੈ, ਪਛਾਣ ਨਹੀਂ ਦਿੰਦੀ

WireGuard ਦੀਆਂ ਧਿਰਾਂ ਕੋਲ ਪਹਿਲਾਂ ਹੀ Curve25519 ਦੀਆਂ ਜਨਤਕ ਅਤੇ ਨਿੱਜੀ ਚਾਬੀਆਂ ਹਨ ਅਤੇ ਹੈਂਡਸ਼ੇਕ ਇਹਨਾਂ ਪਛਾਣਾਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ। ਲੋੜੀਂਦੀ ਪਹਿਲਾਂ ਤੋਂ ਸਾਂਝੀ ਚਾਬੀ ਜ਼ੰਜੀਰ-ਚਾਬੀ ਵਿੱਚ ਮਿਲਾਈ ਜਾਂਦੀ ਹੈ ਅਤੇ ਜਨਤਕ ਚਾਬੀਆਂ ਦੀ ਅਦਲਾ-ਬਦਲੀ ਉੱਤੇ ਸਮਮਿਤ ਸਮੱਗਰੀ ਜੋੜਦੀ ਹੈ।

ਇਹ ਆਪਣੇ ਆਪ ਵਿੱਚ ਨਾ ਪਛਾਣ ਦਿੰਦੀ ਹੈ ਨਾ ਵਰਤੋਂਕਾਰ ਖਾਤਾ, ਇਸ ਲਈ ਓਪਰੇਟਰ ਦੋ ਧਾਰਕਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ PSK ਨਾਲ ਨਹੀਂ ਵੱਖ ਕਰ ਸਕਦਾ। ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਇੱਕੋ ਮੁੱਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਹੈਂਡਸ਼ੇਕ ਕਿਸੇ ਲਾਹੇਵੰਦ ਗਲਤੀ ਸੁਨੇਹੇ ਤੋਂ ਬਿਨਾਂ ਫੇਲ੍ਹ ਹੋ ਜਾਂਦਾ ਹੈ। ਇਸ ਲਈ ਘੁਮਾਓ ਦੀ ਯੋਜਨਾ ਦੋਵੇਂ ਧਿਰਾਂ ਲਈ ਇਕੱਠੇ ਬਣਾਉਣੀ ਪੈਂਦੀ ਹੈ, ਇੱਕ ਫਾਈਲ ਸੋਧਣ ਵਾਂਗ ਨਹੀਂ।

ਵੰਡ, ਘੁਮਾਓ ਅਤੇ ਹਟਾਉਣ ਦੀ ਜਾਂਚ ਕਰੋ

ਵੰਡ ਹਰ ਉਸ ਡਿਜ਼ਾਈਨ ਦਾ ਕਮਜ਼ੋਰ ਨੁਕਤਾ ਹੈ ਜੋ ਇੱਕ ਭੇਤ ਨੂੰ ਕਈ ਥਾਵਾਂ 'ਤੇ ਵਰਤਦਾ ਹੈ। ਚੈਟ ਵਿੰਡੋ ਵਿੱਚ ਚਿਪਕਾਇਆ, ਭੰਡਾਰ ਵਿੱਚ ਸੰਭਾਲਿਆ ਜਾਂ ਵਾਤਾਵਰਣਾਂ ਵਿਚਕਾਰ ਦੁਬਾਰਾ ਵਰਤਿਆ ਮੁੱਲ ਅਜਿਹੀਆਂ ਨਕਲਾਂ ਇਕੱਠੀਆਂ ਕਰਦਾ ਹੈ ਜੋ ਕੋਈ ਗਿਣ ਨਹੀਂ ਸਕਦਾ, ਅਤੇ ਹਰ ਨਕਲ ਚੁੱਪਚਾਪ ਨੁਕਸਾਨ ਦਾ ਘੇਰਾ ਵਧਾਉਂਦੀ ਹੈ।

Base64 ਲਿਖਤ ਐਨਕ੍ਰਿਪਸ਼ਨ ਨਹੀਂ ਹੈ। ਉਸੇ ਫੋਲਡਰ ਵਿੱਚ ਜਨਤਕ ਸਰਟੀਫਿਕੇਟ ਦੇ ਕੋਲ ਰੱਖਿਆ ਭੇਤ ਅਜੇ ਵੀ ਖੁੱਲ੍ਹੀ ਲਿਖਤ ਵਿੱਚ ਭੇਤ ਹੈ।

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

ਸਮਾਂ-ਸਾਰਣੀ ਮੁਤਾਬਕ ਅਤੇ ਕਿਸੇ ਵੀ ਸ਼ੱਕੀ ਖੁਲਾਸੇ ਤੋਂ ਬਾਅਦ ਘੁਮਾਓ ਕਰੋ, ਅਤੇ ਪੁਰਾਣਾ ਮੁੱਲ ਰੱਦ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਲੋੜੀਂਦੀ ਧਿਰ ਨੂੰ ਤਾਜ਼ਾ ਕਰੋ। ਫਿਰ ਲਿੰਕ ਨੂੰ ਦੋਵੇਂ ਸਿਰਿਆਂ ਤੋਂ ਪਰਖੋ, ਕਿਉਂਕਿ ਨਾ ਮਿਲਦੀ ਚਾਬੀ ਹੈਂਡਸ਼ੇਕ 'ਤੇ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ ਅਤੇ ਬਿਲਕੁਲ ਫਾਇਰਵਾਲ ਦੀ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।

ਦਰਜ ਕਰੋ ਕਿ ਕਿਹੜਾ ਭੇਤ ਕਿਹੜੇ ਪੜਾਅ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋ ਪਾਸਵਰਡ ਰੀਸੈੱਟ ਕਦੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਚਾਬੀ ਦੇ ਨਵੀਨੀਕਰਨ ਨਾਲ ਨਾ ਰਲੇ। ਉਹ ਇੱਕ ਲਾਈਨ ਹਰ ਵਾਰ ਇੱਕ ਘੰਟਾ ਬਚਾਉਂਦੀ ਹੈ ਜਦੋਂ ਕੋਈ ਤੈਨਾਤੀ ਦੀ ਸਮੀਖਿਆ ਕਰਦਾ ਹੈ।