په IPsec، OpenVPN او WireGuard کې مخکې شریک شوی کیلي څه کوي

د مخکې شریک شوی کیلي عبارتونه د IPsec، OpenVPN او WireGuard په اسنادو کې راځي، خو درې بېلابېل شیان ښیي۔ یو د تصدیق راز دی، بل د کنټرول چینل ساتنه کوي، او دریم په لا دمخه هویت لرونکي لاس ورکولو کې مواد زیاتوي۔ د دوی د تبادل وړ ګڼل داسې اړیکه جوړوي چې په هغه پړاو کې ناکامه شي چې چا تمه نه درلوده۔ مخکې له دې چې ارزښت پکې کاپي کړئ، ولولئ چې په هغه پروتوکول کې دا ساحه څه کوي۔

درې پروتوکولونه، درې ماناوې

هر پروتوکول د کیلي دنده په خپله مشخصات کې ټاکي او دا دندې یو پر بل نه پوښي۔ د تصدیق راز ثابتوي چې دوو لورو یو شان ارزښت پېژني۔ د کنټرول چینل کیلي بیا راتلونکې خبرې اترې ساتي۔ د لاس ورکولو زیاتونه د کیلي مهالوېش بدلوي پرته له دې چې بدل کړي چې لوري څوک دي۔

د دې رولونو هېڅ یو هم انسان تصدیق نه کوي، او همدا ګډوډي تر ټولو ډېر وخت اخلي۔ مخکې شریک شوی کیلي د تبادلې دمخه په وسایلو یا ګېټویو کې ږدي، نو هر لرونکی بل لوري ته یو شان ښکاري۔ دا ځانګړنه د دوو روټرونو ترمنځ اړیکې لپاره ګټه ده او د نومول شویو کارکوونکو سره د لرې لاسرسي خدمت لپاره خطر۔ د حساب اعتبار او کرپټوګرافیک راز په هغه سند کې چې ځای پرځای کول بیانوي په جلا ستنو کې وساتئ۔

IPsec او OpenVPN دا کلمه بېلابېل کاروي

IKEv2 کولای شي یو لوري د سند پرځای د مخکې شریک شوي راز سره تصدیق کړي، او ارزښت باید په دواړو خواوو کې یو شان وي۔ ځکه چې همدا راز معمولاً د لورو یوې ډلې لپاره تنظیمیږي، هر لرونکی کولای شي ځان د نورو په توګه وښیي، او تبادله له هغو هویت کیليو چې هېڅکله یې نه درلودې د مخې خوا رازداري نه ترلاسه کوي۔

په OpenVPN کې tls-auth او tls-crypt اختیارونه د کنټرول چینل سره یوه ثابته کیلي نښلوي، یا HMAC لاسلیک زیاتوي یا خپله خبرې اترې کوډ کوي۔ دا کیلي د کارن پټنوم نه ده او د کلاینټ سند ځای نه نیسي۔ د دواړو توپیر د نوي کولو پر مهال مهم دی، کله چې پټنوم بدلول د کنټرول چینل کیلي نه ټکوي۔

د WireGuard PSK زیاتوي، هویت نه ورکوي

د WireGuard لوري لا دمخه د Curve25519 عامه او خصوصي کیلي لري، او لاس ورکول همدا هویتونه تصدیق کوي۔ اختیاري مخکې شریک شوی کیلي د زنځیر کیلي سره ګډیږي او د عامه کیليو د تبادلې پرمخ متناظر مواد زیاتوي۔

په خپله نه هویت ورکوي او نه کارن حساب، نو یو آپریټر نشي کولای دوه لرونکي د هغوی د PSK له مخې توپیر کړي۔ دواړه خواوې باید یو شان ارزښت ولري، که نه لاس ورکول پرته له ګټورې تېروتنې پیغام ناکاميږي۔ له همدې امله څرخ باید د دواړو خواوو لپاره یو وخت پلان شي، نه د یوې فایل د سمون په ډول۔

وېش، څرخ او لرې کول وګورئ

وېش د هر هغه ډیزاین کمزوری ټکی دی چې یو راز په ډېرو ځایونو کاروي۔ هغه ارزښت چې په چیټ کړکۍ کې نښلول شي، په زېرمه کې وساتل شي یا د چاپېریالونو ترمنځ بیا وکارول شي، هغه کاپي راټولوي چې هیڅوک نشي شمېرلی، او هر کاپي په خاموشۍ د زیان ساحه پراخوي۔

Base64 متن کوډ کول نه دي۔ هغه راز چې په همدې فولډر کې د عامه سند ترڅنګ ساتل کیږي، لا هم په روښانه متن کې راز دی۔

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

د مهالوېش له مخې او له هر شکمن افشا وروسته څرخ وکړئ، او مخکې له دې چې زوړ ارزښت لغوه کړئ هر هدف لوري تازه کړئ۔ بیا اړیکه له دواړو سرو وازموئ، ځکه ناسمه کیلي په لاس ورکولو کې ناکاميږي او په بشپړه توګه د اور دېوال د ستونزې په څېر ښکاري۔

مستند کړئ چې کوم راز کوم پړاو ساتي، ترڅو د پټنوم بیا ټاکل هېڅکله د کوډ کیلي د نوي کولو سره ونه ګډ شي۔ هغه یوه کرښه هره ورځ یو ساعت خوندي کوي کله چې څوک ځای پرځای کول بیاکتنه کوي۔