Šifrovanie skrýva údaje; autentizácia pomenúva protistranu
Šifrovanie chráni obsah, autentizácia protistrany určuje server a autorizácia rozhoduje, čo smie identita otvoriť. Pýtajte sa na všetky tri veci pri návrhu VPN.
Šifrovanie bez overenia protistrany môže dôverný rozhovor doručiť nesprávnej strane. Autentizácia bez autorizácie dokazuje, kto sa pripojil, ale nie čo smie otvoriť. Sú to tri samostatné kontroly a recenzia VPN, ktorá sa pýta len na šifru, odpovedá na jednu z nich. Pred otvorením ktorejkoľvek stránky nastavení si otázky zoraďte.
Štyri otázky, kým to nazvete bezpečným
Recenziu rámcujú štyri otázky: čo môžu pozorovatelia prečítať, ktorý server odpovedá, kto sa pripája a čo smie táto identita používať. Na prvú odpovedá šifrovanie, na druhú autentizácia protistrany, na tretiu autentizácia používateľa alebo zariadenia a na poslednú autorizácia. Názov šifry alebo úspešné prihlásenie je len čiastočná odpoveď.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Návrh, ktorý nechá jeden riadok nevyriešený, sa nestane bezpečným posilnením iného. Kontroly sa dopĺňajú, nie sú zameniteľné.
Autentizácia protistrany nie je prihlásenie
Klient overuje, že server je ten zamýšľaný, pomocou nakonfigurovaných certifikátov, verejných kľúčov alebo iného podporovaného mechanizmu. Dôveryhodná certifikačná autorita nerobí z každého certifikátu, ktorý kedy vydala, správny server, preto kontrola identity zostáva dôležitá. Zadanie platného hesla do neovereného koncového bodu z neho nerobí dôveryhodný bod. Heslo dokazuje len to, že ste boli ochotní autentizovať sa tomu, kto odpovedal.
WireGuard ukazuje rovnakú myšlienku inými prostriedkami: nakonfigurovaný kľúč protistrany vykoná kontrolu identity bez certifikačného okna v štýle prehliadača. Zdieľané tajomstvo známe mnohým používateľom označuje skôr skupinu než jednotlivca, a preto jedinečný údaj zariadenia často nesie silnejšiu identitu.
Autentizované šifrovanie je kryptografický termín
Autentizované šifrovanie znamená, že šifra chráni dôvernosť a odhaľuje neoprávnené zmeny. Neznamená, že sa prihlásil človek, a nerozhoduje, ktoré súbory smie účet otvoriť. Názov šifrovej sady opisuje konštrukciu, nie vzťah medzi dvoma stranami. Integrita paketov, identita protistrany a oprávnenia účtu sú súvisiace požiadavky s oddelenými dôkazmi.
Profil dôvery RFC 5280 je referenciou pre cesty certifikátov a overovanie identity, keď nasadenie používa X.509. Čítať ho je užitočnejšie než považovať slovo autentizovaný za synonymum bezpečného.
Prečítajte si zlyhanie, kým oslabíte kontrolu
Expirovaný certifikát, nesprávne systémové hodiny a neočakávaná identita servera majú každý svoju opravu. Odmietnutý účet má inú. Ak sa server legitímne zmenil, získajte aktualizovaný materiál dôvery od overeného prevádzkovateľa. Odstránenie kontroly identity, aby sa tunel pripojil, mení viditeľné zlyhanie za neviditeľné.
Chráňte prihlasovacie údaje, od ktorých tunel závisí. Profil môže obsahovať súkromný kľúč a uložené heslo môže udeliť vzdialený prístup. Keď niektorý unikne, použite proces správy účtu alebo kľúčov služby, pretože voľba inej krajiny v adresári klienta starú identitu neodvolá.