Šifriranje skrije podatke; overjanje poimenuje nasprotno stran
Šifriranje varuje vsebino, overjanje nasprotne strani poimenuje strežnik, pooblastilo pa odloči, kaj lahko identiteta odpre. V načrtu VPN vprašajte po vseh treh.
Šifriranje brez preverjanja nasprotne strani lahko zaupen pogovor dostavi napačni strani. Overjanje brez pooblastila dokaže, kdo se je pridružil, ne pa, kaj sme odpreti. To so trije ločeni nadzori, in pregled VPN, ki sprašuje samo o šifri, odgovori na enega od njih. Preden odprete katero koli stran z nastavitvami, razvrstite vprašanja.
Štiri vprašanja, preden to imenujete varno
Pregled uokvirjajo štiri vprašanja: kaj lahko preberejo opazovalci, kateri strežnik odgovarja, kdo se pridružuje in kaj sme ta identiteta uporabljati. Na prvo odgovori šifriranje, na drugo overjanje nasprotne strani, na tretje overjanje uporabnika ali naprave in na zadnje pooblastilo. Ime šifre ali uspešna prijava je le delni odgovor.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Načrt, ki pusti eno vrstico nerazrešeno, ne postane varen z okrepitvijo druge. Nadzori se dopolnjujejo, niso zamenljivi.
Overjanje nasprotne strani ni prijava
Odjemalec preveri, da je strežnik tisti, ki je bil mišljen, z nastavljenimi potrdili, javnimi ključi ali drugim podprtim mehanizmom. Zaupanja vredna potrditvena ustanova ne naredi vsakega kdaj izdanega potrdila pravega strežnika, zato preverjanje identitete ostaja pomembno. Vnos veljavnega gesla v nepreverjeno končno točko je ne naredi zanesljive. Geslo dokaže le, da ste bili pripravljeni overiti se tistemu, ki je odgovoril.
WireGuard pokaže isto zamisel z drugimi pripomočki: nastavljeni ključ nasprotne strani opravi preverjanje identitete brez potrditvenega okna v slogu brskalnika. Skupna skrivnost, ki jo pozna veliko uporabnikov, bolj označi skupino kot posameznika, zato edinstveno potrdilo naprave pogosto nosi močnejšo identiteto.
Overjeno šifriranje je kriptografski izraz
Overjeno šifriranje pomeni, da šifra varuje zaupnost in zazna nedovoljene spremembe. Ne pomeni, da se je prijavil človek, in ne odloča, katere datoteke sme račun odpreti. Ime šifrnega nabora opisuje zgradbo, ne razmerja med dvema stranema. Celovitost paketov, identiteta nasprotne strani in dovoljenja računa so povezane zahteve z ločenimi dokazi.
Profil zaupanja RFC 5280 je referenca za poti potrdil in preverjanja identitete, ko uvedba uporablja X.509. Branje je koristnejše od tega, da besedo overjeno obravnavate kot sopomenko za varno.
Preberite napako, preden oslabite nadzor
Poteklo potrdilo, napačna sistemska ura in nepričakovana identiteta strežnika imajo vsak svoj popravek. Zavrnjen račun ima drugega. Če se je strežnik zakonito spremenil, pridobite posodobljeno gradivo zaupanja pri preverjenem operaterju. Odstranitev preverjanja identitete, da bi se tunel povezal, zamenja vidno napako za nevidno.
Zaščitite poverilnice, od katerih je odvisen tunel. Profil lahko vsebuje zasebni ključ, shranjeno geslo pa lahko omogoči oddaljen dostop. Ko ena uhaja, uporabite postopek upravljanja računa ali ključev storitve, ker izbira druge države v imeniku odjemalca stare identitete ne prekliče.