Afirmațiile despre criptarea VPN: ce trebuie să spună documentația

Priviți numărul mare de lângă numele unui algoritm și întrebați-vă ce măsoară de fapt. Nu vă spune ce conexiune este protejată, ce protocol asigură protecția sau ce setări acceptă clientul dumneavoastră. O pagină care nu poate lega afirmația sa de unul dintre acestea este publicitate, nu documentație. Verificările de mai jos sunt o ordine de lectură pentru orice rezumat primiți, iar prima afirmație pe care nu o puteți lega de o conexiune anume este locul unde trebuie să vă opriți.

Stabiliți ce conexiune acoperă afirmația

O singură pagină de produs poate discuta criptarea tunelului, HTTPS către portalul contului și criptarea datelor stocate în același paragraf. Acestea sunt căi diferite și sisteme de stocare diferite, așa că o proprietate a unuia nu spune nimic despre celelalte. Decideți despre care dintre cele trei vorbește propoziția înainte de a o compara cu un concurent. Același cuvânt, criptare, apare în toate trei contexte și înseamnă ceva diferit de fiecare dată.

Pentru tunelul în sine, căutați un protocol documentat și un set documentat de setări de securitate acceptate. Aceste trei etichete nu sunt interschimbabile: un set implicit vine fără să îl alegi, un mod opțional se aplică doar dacă profilul îl selectează, iar un rezultat negociat este ceea ce cele două părți au convenit la conectare. Un furnizor care le estompează v-a spus mai puțin decât pare.

Verificați protocolul și setul pe care îl permite

Începeți de la profilul clientului, nu de la o grafică comparativă. Profilul numește protocolul, iar protocolul decide ce seturi sunt chiar posibile, cum arată cele două cazuri obișnuite.

Lista de propuneri IKEv2 este un meniu din care alege gateway-ul, așa că setul pe care îl obțineți poate diferi între două gateway-uri cu setări de client identice. WireGuard nu are un astfel de meniu, ceea ce face afirmația sa mai ușor de verificat și mai îngust de descris. Niciuna dintre aranjamente nu este mai puternică în sine; problema este că documentația trebuie să spună pe care o are în vedere.

Doar numele unui cifru lasă afară și autentificarea, stabilirea cheilor, expunerea metadatelor și păstrarea. Construcțiile moderne combină criptarea și integritatea într-un singur set, în timp ce cele vechi le separă, așa că citarea unui singur nume de algoritm poate ascunde ce proprietate obțineți de fapt. Cereți în scris politica de negociere atunci când pagina nu o indică.

Verificați autentificarea celeilalte părți și starea actualizărilor

Autentificarea celeilalte părți face parte din afirmație chiar și când textul de marketing o omite. Criptarea puternică către un destinatar neverificat nu este rezultatul pe care nimeni îl voia, iar un tunel care nu vă poate spune cine a răspuns protejează mai puțin decât pare. Uitați-vă cum validează clientul serverul: un lanț de certificate, o cheie fixată sau un secret partajat în prealabil. Acestea sunt modele de încredere diferite, cu moduri de eșec diferite.

Apoi verificați implementarea și starea ei de actualizare, deoarece un cifru documentat într-un client neactualizat descrie o versiune pe care poate nu o rulați. Limitările publicate de autorii protocolului merită citite din același motiv. Un client care nu a fost actualizat de un an face o afirmație diferită de pagina din fața dumneavoastră.

Verificați unde se termină tunelul

Un tunel de la client la server se termină la serverul VPN. Criptarea aplicației, precum HTTPS către serviciul din spate, poate proteja traficul mai departe pe traseu, iar după server poate fi singura protecție rămasă. Citiți explicația operatorului despre punctele finale și decideți la care dintre aceste straturi se referă afirmația.

Politica de jurnalizare și urmărirea contului stau complet în afara criptării. Un operator poate transporta conținut criptat în timp ce observă momentul, adresele și volumul, așa că o afirmație despre confidențialitatea conținutului nu răspunde nimic despre ce se înregistrează. Tratați păstrarea ca o întrebare separată, cu propriile dovezi.

Notați ce nu spune documentația

Când lipsește o proprietate, notați că lipsește în loc să o deduceți din numele sau reputația software-ului. Un audit acoperă doar proprietățile și componentele pe care le-a examinat efectiv, iar o lacună în documentație este o constatare în sine. Scrieți lacuna cât timp vă mai amintiți ce pagină a produs-o.

Pe o mașină pe care o controlați, citiți setul din sesiunea activă, folosind pagina de stare a clientului sau lista asocierilor de securitate de pe gateway, și notați acea valoare lângă versiunea clientului. Acea înregistrare face o afirmație a furnizorului comparabilă mai târziu, când o actualizare schimbă rezultatul negociat. Dacă clientul și documentația nu sunt de acord, aveți încredere în rezultatul negociat și raportați discrepanța în loc să o împăcați în tăcere.