IKEv1 او IKEv2 له مخکې شریک شوي کیلي سره: تصدیق کې څه توپیر لري

دوه ګېټوې چې په یوه شریکه مخکې شوې کیلي تنظیم شوې دي یو لاس ورکول بشپړوي، او د پاکټونو ثبت هېڅ پټه نه ښيي چې تار اوړي۔ دا هغه برخه ده چې خلک یې یادېږي۔ په زړه پورې برخه دا ده چې هر نسخه په رښتیا څه محاسبه کوي ترڅو ثابت کړي چې پټه پېژندل شوې، ځکه IKEv1 او IKEv2 دا ثبوت له بېلو ننوتنو جوړوي او د دې په ترڅ کې بېل معلومات ښکاره کوي۔ دواړه نښې څنګ په څنګ ولولئ او توپیر له ظاهري کېدو ودرېږي۔

ثبوت باید څه ترلاسه کړي

Diffie-Hellman دواړو خواوو ته یوه ګډه ارزښت ورکوي چې عامې نیمې برخې یې هر څوک چې ګوري محاسبه کولی شي۔ په خپله دا د هویت په اړه هېڅ نه ثابتوي: هغه بریدګر چې د کیلي تبادله بشپړوي هماغه ګډه ارزښت لري لکه ستاسو ګېټوه۔ د تصدیق ګام د دې لپاره دی چې هغه تبادله له یوې پټې سره وتړي چې یوازې اړوندې خواوې یې لري، او له هغو هويتونو او پیرامیټرونو سره چې دوی پرې موافقه کړې۔

همدا تړاو هغه لامل دی چې هش له کیلي څخه ډېر څه رانغاړي۔ که یوازې پټه رانغاړي، بریدګر کولی شي هغه په بله تبادله کې د بېلو هويتونو یا وړاندیزونو سره بیا پلی کړي۔

IKEv1 Main Mode: SKEYID راوباسه، بیا یې ثابت کړه

Main Mode شپږ پیغامونه چلوي۔ لومړی جوړه د امنیت ټولنه خبرې کوي، دویمه د Diffie-Hellman عامې ارزښتونه او nonce تبادله کوي، او درېیمه د اوس مهال جوړ شوي کوډ کولو لاندې هويتونه او د تصدیق هشونه وړي۔ RFC 2409 جوړښت تعریفوي: د مخکې شریک شوې کیلي تصدیق سره، SKEYID له پټې او دواړو nonce څخه راوځي، او وروستی کیلي مواد له SKEYID، د Diffie-Hellman ګډې ارزښت، کوکیز او ثابتو څخه۔

په پنځم او شپړم پیغام کې هش د Diffie-Hellman ارزښت، دوه کوکیز، وړاندیز او د لېږونکي هويت پر بنسټ د SKEYID کیلي سره محاسبه کېږي۔ ترلاسه کوونکی یې په خپله تنظیم شوې پټه بیا محاسبه کوي۔ ناسموالی تبادله پای ته رسوي، او پټه پخپله هېڅکله بار نه وي۔

Aggressive Mode هماغه کار په دریو پیغامونو کې ټېل وهي، مانا دا چې هويتونه او د تصدیق هش مخکې له دې چې کوډ شوی کانال وي سفر کوي۔ دا د اټکل وړ پټې لپاره ریښتینی ښکارېدل دی، او له دې پوښتنې جلا دی چې پټه لېږل شوې که نه۔ IKEv1 د RFC 9395 له مخې زوړ شوی، نو زړه نښه د ځای پرځای کولو موخه نه، بلکې تشخیصي تمرین دی۔

IKEv2: بله راویستنه او بل AUTH بار

IKEv2 د IKEv1 د کیلي مهالوېش بیا نه کاروي۔ لومړني IKE کیلي له هغه تخم څخه راځي چې له nonce او د Diffie-Hellman ګډې ارزښت جوړ شوی، او ماشوم امنیتي ټولنې له هغه راوځي۔ مخکې شریکه کیلي تخم ته هېڅ نه ورکوي۔

بیا تصدیق د AUTH بار په توګه ښکاري۔ د ګډې کیلي تصدیق لپاره RFC 7296 د پټې ډکې بڼه ټاکي، چې د پټې د ثابتې تار سره هش کولو له لارې لاس ته راځي Key Pad for IKEv2, بیا د لاسلیک شوو تبادلې معلوماتو او هويت هش کول په هماغه ډکه کیلي۔ تاییدوونکی کولی شي هماغه ارزښت بیا جوړ کړي؛ کتونکی نشي، پرته له پټې۔

وګورئ څه بدل شول۔ په IKEv1 کې پټه د تصدیق هش له شتون مخکې د کیلي مهالوېش کې ګډه شوې ده؛ په IKEv2 کې کیلي مهالوېش له پټې خپلواک دی او ثبوت یو جلا بار دی چې له لاسلیک شوو اکتېټونو سره تړلی۔ هماغه مفهومي تضمین، بله ماشین، او همدا لامل دی چې د پیرامیټر نومونه او ثبتونه یو له بل سره نه ځي۔

کتونکی په رښتیا څه زده کوي

د Diffie-Hellman عامې ارزښتونه، وړاندیزونه، nonce او کوکیز په دواړو نسخو کې ښکاري۔ هويتونه په IKEv1 Aggressive Mode کې ښکاري او په نورو حالتونو کې ساتل کېږي۔ پټه هېڅکله نه ښکاري۔

دغه وروستی جمله یو حد لري چې باید وویل شي۔ کمزورې، د انسان ټاکل شوې پټه د اټکل له لارې برید کېدای شي: بریدګر محاسبه کوي چې د کاندید پټې لپاره به د تصدیق ارزښت څه وي او پرتله کوي۔ IKEv1 Aggressive Mode دا تر ټولو ارزانه کوي ځکه ثبوت په ښکاره کې دی، او معیارونه په عمومي ډول د ټیټ انټروپي پټو په اړه خبرداری ورکوي۔ پټه هېڅکله نه لېږل د بدې پټې خوندي کولو سره یو شان نه دي۔

له دې پرتلې سره څه وکړو

د هرې خواوې جوړې لپاره یوه ځانګړې پټه وکاروئ، له ناڅاپي سرچینې یې جوړه کړئ، او د هماغه چمتو کولو لارې چې توزیع کړې وه یې وڅرخوئ۔ که پټه په هغه ترتیباتو کې وي چې هر څانګې ته لېږل کېږي، په یوه ځای کې زیان په هر ځای کې زیان دی۔

چېرې چې عملیاتي لګښت منل کېدای شي د سند پر بنسټ تصدیق غوره کړئ، ځکه د ګډې پټې د اټکل ستونزه لرې کوي او هرې خوا ته جلا هويت ورکوي۔ چېرې چې مخکې شریکه کیلي پاتې کېږي، اوږده یې وساتئ، ساحه یې تنګه کړئ، او د IKE نسخه د عملیاتي همغږۍ تفصیل نه، بلکې د امنیت پرېکړه وګڼئ۔