IKEv2 دوه لاسلیکونه لري: سند او IKE_AUTH
CA سند لاسلیک کوي، او همکار خپله IKE_AUTH تبادله د خپلې طرحې سره لاسلیک کوي. هر یو له خپلې برخې ولولئ، بیا دواړه ثبت کړئ.
ستاسو ټکټ وایي چې سند SHA-256 دی، خو د دروازې ثبت بل د لاسلیک الګوریتم نوموي، او یو چا لا دمخه د CA بیا خپرولو غوښتنلیک جوړ کړی دی. مخکې لدې چې هغه غوښتنلیک چېرې لاړ شي، دوه لاسلیکونه بېل کړئ: یو په عامه کیلي د صادروونکي مهر دی، بل د همکار دا ثبوت چې د IKE_AUTH په جریان کې سمه خصوصي کیلي لري. بېلابېل برخې دوی غوره کوي، او اجازه لري چې توپیر ولري. د هر یو له هغه ځایه لوستل چې ژوند کوي دوه کمانډونه او یوه جدول ته اړتیا لري.
د صادروونکي لاسلیک له سنده ولولئ
CA خپل لاسلیک د هویت او کیلي ترمنځ په تړاو ږدي. هغه لاسلیک ثبتوي چې CA د خپرولو پر مهال څه وکړل، نه هغه څه چې موضوع به د نښلولو پر مهال وکړي، نو د هغې الګوریتم د CA خپل هش او کیلي غوراوي بیانوي. د یو ډول موضوع کیلي کولای شي پرته له کوم تضاد د بل ډول CA کیلي لاندې وي، او د CA کیلي څرخول عادي کار دی نه خرابي. دواړه برخې ولولئ او نیمه لیست لرئ:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"دواړه نښې د جلا ننوتلو په توګه ولیکئ. لومړی CA بیانوي، دویم د موضوع کیلي، او هیڅ یو یې آنلاین لاسلیک وړاندوینه نه کوي.
آنلاین لاسلیک د IKE تبادلې څخه ولولئ
د تصدیق پر مهال هر همکار د خپلې خصوصي کیلي سره د تبادلې معلومات لاسلیک کوي، او بل اړخ هغه ثبوت د سند هویت، د باور زنځیر او پالیسۍ سره پرتله کوي. په RSA کې ډکول او هش دې آنلاین طرحې پوري اړه لري، نو اوږده کیلي یا نوی SHA-256 سند پخپله د تصدیق لاسلیک لپاره RSA-PSS نه شي غوره کولای. د خبرو اترو طریقه د ډیمون ثبت یا د هغه د نښلونو لیست کې ښکاري، هیڅکله په سند کې نه. هر اړخ وپوښتئ چې څه خبرې یې کړي، ځکه دواړه لوري کولای شي توپیر ولري.
ipsec statusall | grep -i "auth\|proposal"کله چې یو اړخ هغه طرحه ونوموي چې بل یې نه شي جوړولای، تاسو هغه ناسمونلی چې ټکټ یې په اړه و، موندلی. CA بیا خپرول د هغې لپاره غلط اصلاح ده، ځکه سند هیڅکله هغه څه نه و چې پاتې شو.
RFC 7427 څه بدلوي او څه نه
اصلي طریقې په RFC 7296 کې د هر الګوریتم ترکیب له مخې شمېرل شوې. وروستی د RFC 7427 د لاسلیک غځونهیوه عمومي Digital Signature طریقه د لاسلیک-هش ملاتړ سیګنال سره زیاتوي، نو نوی هش نور خپل د طریقی شمېره نه غواړي. دا خبرې اترې کیږي، انګېرل کیږي نه: همکار غځونه نه ترلاسه کوي ځکه چې کتابتون یې همدغه سندونه تحلیلولای شي، او هغه همکار چې یوازې اصلي طریقې پلي کوي دروازه اړ باسي چې یوه له هغو وساتي. دا د مطابقت لګښت سره پالیسي تبادله ده، نه نیمګړتیا.
ملاتړ د هر لوري او هر نښلون لپاره دی، نو د کورنۍ کچې ادعا ته د باور پرځای خپل مخکې پروت بیلډ وآزمویئ. درې کاله مخکې لیکل شوی وړتیا میټریکس درې کلن بیلډونه بیانوي.
په لیست کې څلور کرښې کېږدئ
هغه ریکارډ چې بحث ختموي څلور کرښې لري، هر یوه له بېل ځای لوستل شوې او هر یوه بېل کس بدلې کړې. مخکې لدې چې هر څه پرېکړه کړئ ډک یې کړئ، ځکه غلطه کرښه هماغه ده چې اصلاح غوره کوي.
| شی | له کومه یې ولولئ | څوک یې بدلوي |
|---|---|---|
| د سند د صادروونکي لاسلیک | د سند Signature Algorithm برخه | د CA چلوونکی، د خپرولو پر مهال |
| د موضوع عامه کیلي | د سند Public Key Algorithm برخه | هغه څوک چې د موضوع کیلي جوړوي |
| د IKE تصدیق طرحه | د ډیمون ثبت یا د نښلونو لیست، د auth او signature-hash خبرتیا | پر دواړو همکارانو د IKE پروفایل |
| د IKE او ESP ساتنې الګوریتمونه | د نښلون د وړاندیزونو لیست | د IPsec پروفایل، د هر لوري له مخې |
هره کرښه خپله مطابقت پایله لري. د ESP سایفر بدلون د صادروونکي لاسلیک نه غوره کوي، او د CA تایید اسانه کول هغه آنلاین طریقه نه زیاتوي چې همکارانو هیڅکله خبرې نه ورباندې کړي. کله چې ټکټ د لاسلیک ناسمونلی ادعا کوي، هغه کرښه چې واقعاً غلطه ده تقریباً هیڅکله لومړنې نه وي.
زاړه قضیه پرته لدې چې PKI کمزوری کړئ حل کړئ
زاړه همکار کېدای شي یوازې هغه طرحه وړاندې کړي چې ستاسو پالیسي نور اجازه نه ورکوي. انتخابونه دي د وخت محدود مطابقت استثنا، د کلاینت تازه کول، یا یوازې د هغه همکار لپاره بېل تصدیق ترتیبات. د کمزوري سند لاسلیک شاوخوا PKI بیا جوړول په آنلاین تبادله کې محدودیت نه سمولای شي او هره بله خدمت چې پر هماغه CA باور لري کمزوری کوي. ولیکئ کومه کرښه مو بدله کړه او استثنا کله پای ته رسېږي.
بیا دواړه لوستنې له سره پیل کړئ، ځکه په یوه کرښه کې بدلون کولای شي هغه څه وخوځوي چې په بله کې خبرې پرې کیږي. ټول لیست دوه کمانډونه او یوه جدول دی، او که همکار روټر، لپ ټاپ یا اله وي کار هماغه دی.