Criptarea ascunde datele; autentificarea numește cealaltă parte
Criptarea protejează conținutul, autentificarea celeilalte părți numește serverul, iar autorizarea decide ce poate deschide o identitate. Întrebați toate trei într-un proiect VPN.
Criptarea fără o verificare a celeilalte părți poate livra o conversație confidențială părții greșite. Autentificarea fără autorizare dovedește cine s-a alăturat, dar nu ce poate deschide. Sunt trei controale separate, iar o evaluare VPN care întreabă doar despre cifru răspunde la unul dintre ele. Ordonați întrebările înainte de a deschide orice pagină de setări.
Patru întrebări înainte de a-l numi sigur
Patru întrebări structurează evaluarea: ce pot citi observatorii, care server răspunde, cine se alătură și ce poate folosi acea identitate. La prima răspunde criptarea, la a doua autentificarea celeilalte părți, la a treia autentificarea utilizatorului sau dispozitivului, iar la ultima autorizarea. Un nume de cifru sau o autentificare reușită este doar un răspuns parțial.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Un proiect care lasă un rând nerezolvat nu devine sigur prin întărirea altuia. Controalele se completează, nu se înlocuiesc.
Autentificarea celeilalte părți nu este o autentificare la cont
Clientul verifică faptul că serverul este cel dorit, folosind certificate configurate, chei publice sau un alt mecanism acceptat. O autoritate de certificare de încredere nu face din fiecare certificat emis vreodată serverul corect, așa că verificarea identității rămâne importantă. Tastarea unei parole valide într-un punct final neverificat nu îl face de încredere. Parola dovedește doar că ați fost dispus să vă autentificați la cine a răspuns.
WireGuard arată aceeași idee cu alte unelte: o cheie de partener configurată face o verificare a identității fără o fereastră de certificat în stil browser. Un secret comun cunoscut de mulți utilizatori identifică mai mult grupul decât o singură persoană, de aceea o acreditare unică de dispozitiv poartă adesea o identitate mai puternică.
Criptarea autentificată este un termen criptografic
Criptarea autentificată înseamnă că cifrul protejează confidențialitatea și detectează modificările neautorizate. Nu înseamnă că o persoană s-a autentificat și nu decide ce fișiere poate deschide un cont. Numele unei suite de cifrare descrie o construcție, nu o relație între două părți. Integritatea pachetelor, identitatea celeilalte părți și permisiunile contului sunt cerințe legate între ele, cu dovezi separate.
Profilul de încredere RFC 5280 este referința pentru căile certificatelor și verificările de identitate atunci când implementarea folosește X.509. Citirea lui este mai utilă decât tratarea cuvântului autentificat ca sinonim pentru sigur.
Citiți defecțiunea înainte de a slăbi un control
Un certificat expirat, un ceas de sistem greșit și o identitate de server neașteptată au fiecare corecția sa. Un cont refuzat are alta. Dacă serverul s-a schimbat legitim, obțineți materialul de încredere actualizat de la operatorul verificat. Eliminarea verificării identității ca să se conecteze tunelul schimbă o defecțiune vizibilă cu una invizibilă.
Protejați acreditările de care depinde tunelul. Un profil poate conține o cheie privată, iar o parolă salvată poate acorda acces de la distanță. Când una se scurge, folosiți procesul de gestionare a contului sau a cheilor al serviciului, fiindcă alegerea altei țări în directorul clientului nu revocă vechea identitate.