Android IKEv2: පරිශීලක සහතිකය සහ CA වෙනස් කාර්යයන් කරයි
එක් ක්ෂේත්‍රයක් දුරකථනය කවුද යන්න ඔප්පු කරයි, අනෙක කුමන ද්වාරය විශ්වාස කළ යුතුද යන්න තීරණය කරයි. Android හි IKEv2 පැතිකඩ ඒවා වෙන් කර තබයි.
Android හි IKEv2 තිරයක් එකම වේලාවේ පරිශීලක සහතිකය සහ CA සහතිකය ඉල්ලා සිටින විට එකම දෙය දෙපාරක් ඉල්ලන බවක් පෙනේ. එහෙත් එය එසේ නොවේ. IKEv2 එක් හුවමාරුවක් තුළ දෙපැත්තම දිශා දෙකකින්ම සත්‍යාපනය කරයි, දුරකථනයට එක් එක් දිශාවේ වෙනස් භූමිකාවක් ඇත: තමා කවුද යන්න ඔප්පු කිරීම සහ කුමන ද්වාරය විශ්වාස කරන්නේද යන්න තීරණය කිරීම. පරිශීලක සහතිකය පළමු ප්‍රශ්නයට පිළිතුරු දෙයි, විශ්වාසනීය CA දෙවැන්නට, කිසිවක් අනෙක ආදේශ නොකරයි.
එක් හුවමාරුවක සත්‍යාපනයේ දිශා දෙක
IKEv2 පාලන නාලිකාව අවස්ථා දෙකකින් ගොඩනඟයි. පළමුවැන්න ඇල්ගොරිතම සහ යතුරු ගැන සාකච්ඡා කරයි; දෙවැන්න වන IKE_AUTH, එක් එක් පැත්තෙන් AUTH බරක් එහි අනන්‍යතාව සමඟ ගෙන එයි. එම බර හුවමාරුව මත සාදන ලද අත්සනක් හෝ MAC එකක් වන අතර ලබන්නා දැනටමත් විශ්වාස කරන දෙයක් සමඟ පරීක්ෂා කරයි.
ද්වාරය තම සහතිකයෙන් තමා ඔප්පු කරයි, දුරකථනය තමා පිළිගන්නා මූලය දක්වා දාමය පරීක්ෂා කර සහතිකයේ අනන්‍යතාව තමා ළඟා වීමට අදහස් කළ ද්වාරයට ගැළපේදැයි බලයි; දුරකථනය තම සත්‍යාපන දත්තවලින් තමා ඔප්පු කරයි, ද්වාරය ඒවා ග්‍රාහක සහතිකය නිකුත් කළ CA සමඟ පරීක්ෂා කරයි.
ක්ෂේත්‍ර දෙක පිටුපස ඇති සම්පූර්ණ යන්ත්‍රණය මෙයයි. පරිශීලක සහතිකය දුරකථනය තමා ගැන කරන ප්‍රකාශයකි; CA ක්ෂේත්‍රය තමා කාව විශ්වාස කරන්නේද යන ප්‍රකාශයකි. එකක් පමණක් ඇති පැතිකඩකට අන්‍යෝන්‍ය සත්‍යාපනය සම්පූර්ණ කළ නොහැක, නැවත උත්සාහ කිරීමෙන් එය වෙනස් නොවේ. අසාර්ථකවීම් පවා වෙනස් ලෙස පෙනේ: පරිශීලක යතුරක් නැත්නම් දුරකථනයට අත්සන් කළ නොහැක, විශ්වාස නැංගුරමක් නැත්නම් ද්වාරයේ සහතිකය පිළිගත නොහැක.
| Material | Role | What it cannot do |
|---|---|---|
| User certificate plus its private key | Proves possession of the enrolled client identity | Establish that the gateway is the right one |
| Trusted CA certificate | Validates the gateway chain under the intended identity checks | Prove the client's identity to the gateway |
| Expected gateway identity | Pins which server the phone accepts | Grant that user access to every private resource |
Android පැතිකඩ ගොඩනඟන මෙවලම ඉල්ලන දේ
Android හි IKEv2 පැතිකඩ ගොඩනඟන මෙවලම එක් එක් සත්‍යාපන ක්‍රමය වෙන් වෙන්ව ලබා දෙයි, එකම සහතික මාදිලියක් ලෙස නොවේ. ඩිජිටල් අත්සන් ක්‍රමය පරිශීලක සහතිකය, පෞද්ගලික යතුර සහ සේවාදායකයේ මූල CA ගනී; අනෙක් ක්‍රම පරිශීලක නාමය සහ මුරපදය, නැතහොත් කලින් බෙදාගත් යතුරක් ගනී.
එම අත්සන හොඳින් කියවන්න, එය ඉහත යන්ත්‍රණය විස්තර කරන බැවින්. පරිශීලක නාම සහ මුරපද ක්‍රමයේ පෞද්ගලික යතුර සඳහා ක්ෂේත්‍රයක් නැත, PSK ක්‍රමයේ ද්වාරයේ විශ්වාස නැංගුරම සඳහා ක්ෂේත්‍රයක් නැත, එම ක්‍රම වෙනස් දේ ඔප්පු කරන බැවින්. සහතික ක්ෂේත්‍රයක මුරපදයක් අලවා තැබීමෙන් IKE_AUTH හි අසාර්ථක වන පැතිකඩක් සෑදෙන අතර පණිවිඩය දෙකෙන් එකකවත් නම් නොකරයි.
ඩිජිටල් අත්සන් ක්‍රමය සඳහා ලේඛනගත පෞද්ගලික යතුරු වර්ගය RSA වේ. IPsec හෝ සහතික යනුවෙන් ලියූ මෙනුවක් ECDSA සහාය අදහස් නොකරයි, එම උපකල්පනය මත ගොඩනැගූ පැතිකඩක් ජාලය පැමිණීමටත් පෙර වේදිකා API හි අසාර්ථක වේ.
පොදු සහතිකයක් පමණක් ප්‍රමාණවත් නොවන්නේ ඇයි
AUTH බර ග්‍රාහකයාගේ පෞද්ගලික යතුරෙන් හුවමාරුව මත සාදන ලද අත්සනකි. පොදු සහතිකය ද්වාරයට අත්සනක් පරීක්ෂා කිරීමට ඉඩ දෙයි, නමුත් අත්සනක් සෑදීමට යතුර අවශ්‍ය දුරකථනයට කිසිවක් නොකරයි. .crt පමණක් ආයාත කර යතුර පිටුපස තැබීම මෙම අසාර්ථකවීමේ වඩාත් සුලභ ස්වරූපයයි.
Android හි යතුරු යටිතල පහසුකම එය පිළිබිඹු කරයි: ග්‍රාහක අනන්‍යතාවක් තෝරාගැනීම KeyChain හරහා යයි, එයට අදාළ පෞද්ගලික යතුරට ප්‍රවේශය අවශ්‍ය වේ, සහතික සටහනක් පමණක් නොවේ. යුගලය එකට ස්ථාපනය කරන ලියාපදිංචි පැකේජයක් හෝ උපාංග කළමනාකරණ ප්‍රවාහයක් භාවිතා කළ හැකි අනන්‍යතාවක් ලබා ගැනීමේ සාමාන්‍ය මාර්ගයයි; අතින් ගොනුවක් පිටපත් කිරීම සාමාන්‍යයෙන් නොවේ.
එබැවින් පැතිකඩේ ඇති අංග දෙක සහතික මිටියක් සහ එහි පිටපතක් නොවේ. එකක් වේදිකාවට අත්සන් කළ හැකි විය යුතු යතුරු යුගලයකි, අනෙක එය සංසන්දනය කරන විශ්වාස නැංගුරමයි. ඒවා වෙනස් කරුණු දෙකක් ලෙස පරීක්ෂා කරන්න: මෙම පැතිකඩට අත්සන් කළ හැකිද, කාව විශ්වාස කළ යුතුද යන්න එය දන්නවාද?
විශ්වාස නැංගුරම් යෙදුමකට අයත්, දුරකථනයට නොවේ
පරිශීලක ගබඩාවේ ස්ථාපනය කළ මූලයක් සෑම Android යෙදුමක්ම එය විශ්වාස කරන්නට සලස්වන්නේ නැත: Android 7 සිට යෙදුමක් තම ජාල ආරක්ෂණ වින්‍යාසය හරහා එය තෝරාගත යුතුය, එම නිකුතුවට පෙර පරිශීලකයා ස්ථාපනය කළ CA බොහෝ පුළුල්ව පිළිගැනුණි. විශ්වාස වින්‍යාසය වෙනස් විය හැක, තම විශ්වාස ද්‍රව්‍ය තමාම කළමනාකරණය කරන VPN සේවාදායකයෙක් ගබඩාව දෙස කිසිදා නොබලන්නට පුළුවන. එබැවින් එකම CA ගොනුව එක් සේවාදායකයක වැඩ කර අනෙකක නොසලකා හැරුණු ලෙස පෙනිය හැක.
එයින් හිමිකාරිත්ව ආකෘති දෙකක් පැන නඟී. පද්ධතිය විසින් කළමනාකරණය කරන පැතිකඩ උපාංගයේ සහතික ස්ථාපනය හෝ පරිපාලක ලියාපදිංචිය භාවිතා කර පසුව අපේක්ෂිත CA වෙත යොමු කරයි. යෙදුම විසින් කළමනාකරණය කරන VPN තම විශ්වාස ද්‍රව්‍ය සහ තම ලේඛනගත ආයාතය තබා ගනී, එය Android සැකසුම් තිරයෙන් සම්පූර්ණයෙන් වෙන් විය හැක. බිඳුණු දාමය අලුත්වැඩියා කරන්නේද එහිදීය.
කිසිවක් ආයාත කිරීමට පෙර ඔබ කුමන ආකෘතියක සිටීද යන්න තීරණය කරන්න, පසුව සක්‍රීය පැතිකඩේ විශ්වාස තේරීම තහවුරු කරන්න. ක්‍රියාකරුගේ උපදෙස් සහ සේවාදායකයේ මෙනුව නොගැළපේ නම් එම ස්ථාපනය සඳහා සේවාදායකයේ ලේඛනගත හැසිරීම ජය ගනී, නමුත් CA තවමත් ඔබට පරීක්ෂා කළ හැකි මාර්ගයකින් ක්‍රියාකරුගෙන් පැමිණිය යුතුය. ගොනු නාමය එය නිකුත් කළේ කවුද යන්නට සාක්ෂියක් නොවේ.
මුලින් මාදිලිය, පසුව ගොනු
සහතික මාදිලියට ග්‍රාහක යතුරු යුගලය, ද්වාරයේ පැත්තේ නිකුත් කරන CA, ද්වාර සහතිකය සඳහා විශ්වාස නැංගුරම සහ එම සහතිකය දැරිය යුතු අනන්‍යතාව පිළිබඳ අපේක්ෂාව අවශ්‍ය වේ. පරිශීලක නාමය සහ මුරපදය යතුරු යුගලය වෙනුවට සත්‍යාපන දත්ත දෙයි නමුත් ද්වාරය කෙරෙහි විශ්වාස කොන්දේසිය රඳවා ගනී. PSK දෙකම බෙදාගත් රහසකින් ආදේශ කර විශ්වාස ආකෘතිය සරල කරනවා වෙනුවට වෙනස් කරයි.
ඔබ තෝරන කුමක් වුවත් සාමාන්‍ය සත්‍යාපනය සක්‍රීයව තබන්න. සත්‍යාපනය නොකරන විකල්පය CA ක්ෂේත්‍රය ඒ සඳහා පවතින පරීක්ෂාව ඉවත් කරයි; නැති විශ්වාස නැංගුරමක් එය අලුත්වැඩියා නොකරයි. සම්බන්ධතාව එය නොමැතිව ක්‍රියා කරන නිසා ඕනෑම සේවාදායක සහතිකයක් පිළිගැනීමටද එයම අදාළ වේ.
පසුව නිවැරදි තැන පරීක්ෂා කරන්න: ද්‍රව්‍ය ආයාත කරන්න, එක් වරක් සම්බන්ධ වන්න, සහ සම්බන්ධතා විස්තරවල ද්වාරයේ අනන්‍යතාව ඔබ බලාපොරොත්තු වූ එකම බවත් පැතිකඩ ඔබ අදහස් කළ ක්‍රමය වාර්තා කරන බවත් තහවුරු කරන්න. වැරදි ක්‍රමයක් සමඟ සාර්ථක සම්බන්ධතාවක් ඔබ තවම වටහා නොගත් වින්‍යාසයක් වන අතර ක්‍රියාකරු ප්‍රතිපත්තියක් දැඩි කළ විට එය අසාර්ථක වේ.