IKEv2 waxay leedahay laba saxeex: shahaadada iyo IKE_AUTH
CA waxay saxeexdaa shahaadada, isku-duwuhuna wuxuu saxeexaa is-weydaarsiga IKE_AUTH qorshihiisa. Mid kasta ka akhri goobtiisa, ka dibna labadaba qor.
Tiketkaagu wuxuu leeyahay shahaadadu waa SHA-256 halka diiwaanka albaabku uu sheegayo algorithm saxeex kale, qofna horay u diyaariyay codsi ah in CA dib loo soo saaro. Ka hor inta codsigaas meel uusan tagin, kala sooc labada saxeex: mid waa shaabaddii soo-saaraha ee ku taal fure guud, kan kalena waa caddaynta isku-duwaha in uu hayo furaha gaarka ah ee u dhigma inta lagu jiro IKE_AUTH. Qaybo kala duwan ayaa doorta, waana la oggol yahay inay kala duwanaadaan. Mid kasta in laga akhriyo meesha uu ku nool yahay waxay u baahan tahay laba amar iyo hal shax.
Ka akhri saxeexa soo-saaraha shahaadada
CA waxay saxeexdeeda saartaa isku-xirka aqoonsi iyo fure. Saxeexaas wuxuu diiwaangeliyaa waxa CA qabatay markii la soo saaray, ma aha waxa maaddadu qaban doonto markii ay xirmo, sidaas darteed algorithmkeedu wuxuu sharaxaa doorashada hash iyo fure ee CA lafteeda. Fure maaddo oo hal nooc ah wuxuu hoos iman karaa fure CA oo nooc kale ah isla markaana aan wax is-khilaaf ah jirin, beddelka furaha CA-na waa caadi ma aha cillad. Akhri labada goobood oo waxaad haysataa badhka liiska:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Qor labada calaamadood sidii gelitaanno gooni ah. Midda koowaad waxay sharaxdaa CA, ta labaadna waxay sharaxdaa furaha maaddada, midkoodna ma saadaaliyo saxeexa onlaynka.
Ka akhri saxeexa onlaynka is-weydaarsiga IKE
Inta lagu jiro xaqiijinta isku-duwe kastaa wuxuu saxeexaa xogta is-weydaarsiga furahiisa gaarka ah, dhinaca kalena wuxuu caddayntaas ku hubiyaa aqoonsiga shahaadada, silsiladda kalsoonida iyo siyaasadda. RSA dhexdiisa buuxinta iyo hashku waxay ka tirsan yihiin qorshahan onlaynka, sidaas darteed fure dheer ama shahaado SHA-256 cusub keligeed ma dooran karto RSA-PSS saxeexa xaqiijinta. Habka la wada hadlay wuxuu ka muuqdaa diiwaanka daemonka ama liiska xiriiradiisa, marnaba shahaadada dhexdeeda. Weydii dhinac kasta waxay ka wada hadleen, sababtoo ah labada jiho way kala duwanaan karaan.
ipsec statusall | grep -i "auth\|proposal"Marka dhinac sheego qorshe aan dhinaca kale soo saari karin, waxaad heshay is-khilaafka tiketku ka hadlayay. CA dib u soo saariddu waa hagaajinta khaldan ee taas, sababtoo ah shahaadadu marnaba ma ahayn waxa guuldareystay.
Waxa RFC 7427 beddesho, iyo waxa aanay beddelin
Hababka asalka ah waxaa lagu nambareeyay isku-darka algorithm kasta gudaha RFC 7296. Kordhinta saxeexa RFC 7427 dambe waxay ku daraysaa hab Digital Signature guud oo leh calaamad taageero hash saxeex, sidaas darteed hash cusub uma baahna lambar hab u gaar ah. Waa lagala xaajoodaa, lama mala-awaalo: isku-duwuhu ma helo kordhinta sababtoo ah maktabaddiisu waxay falanqayn kartaa isla shahaadooyinka, isku-duwuhuna oo kaliya hirgeliya hababka asalka ah wuxuu ku qasbaa albaabka inuu mid ka mid ah hayo. Taasi waa is-weydaarsiga siyaasadda oo leh kharash waafaqid, ma aha cillad.
Taageeradu waa jihada kasta iyo xidhiidh kasta, sidaas darteed tijaabi dhismaha horta badan halkii aad ku kalsoonaan lahayd sheegasho heer qoys. Shaxda awoodaha oo saddex sano ka hor la qoray waxay sharaxdaa dhismayaal saddex sano jir ah.
Geli afar saf oo liiska
Diiwaanka doodda soo afjaraya wuxuu leeyahay afar sadar, mid kasta laga akhriyay meel kale oo mid kasta qof kale beddelay. Buuxi ka hor inta aadan wax go'aansan, sababtoo ah safka khaldan ayaa doorta hagaajinta.
| Shay | Meesha laga akhriyo | Yaa beddela |
|---|---|---|
| saxeexa soo-saaraha shahaadada | goobta Signature Algorithm ee shahaadada | maamulaha CA, markii la soo saaray |
| furaha guud ee maaddada | goobta Public Key Algorithm ee shahaadada | qofka soo saara furaha maaddada |
| qorshaha xaqiijinta IKE | diiwaanka daemonka ama liiska xiriirada, ogeysiiska auth iyo signature-hash | borofaylka IKE ee labada isku-duwe |
| algorithmamka ilaalinta IKE iyo ESP | liiska soo-jeedinta xidhiidhka | borofaylka IPsec, jihada kasta |
Saf kastaa wuxuu qaadaa cawaaqibkiisa waafaqid. Beddelka cipher ESP ma doorto saxeexa soo-saaraha, dabacsanaanta hubinta CA-na ma ku darayso hab onlayn oo isku-duwayaashu marnaba ka wada hadlin. Marka tiketku sheegto is-khilaaf saxeex, safka dhab ahaan khaldan marnaba ma aha kan koowaad.
Xalli kiiska duugga ah adigoon daciifin PKI
Isku-duwe duug ah waxaa laga yaabaa inuu soo bandhigo oo kaliya qorshe aan siyaasaddaadu mar dambe ogolayn. Doorashooyinka waa ka-reexid waafaqid waqti xaddidan, cusboonaysiin macmiil, ama habayn xaqiijin kale oo isku-duwahaas oo kaliya. Dib u dhiska PKI oo ku wareegsan saxeex shahaado daciif ah ma hagaajiyo xaddidnaan ku jirta is-weydaarsiga onlaynka wuxuuna daciifiyaa adeeg kasta oo kale oo isku halaynaya isla CA. Qor safka aad beddeshay iyo goorta ka-reexiddu dhammaanayso.
Ka dib mar kale soco labada akhris laga bilaabo sare, sababtoo ah isbeddel saf ku jira wuxuu rari karaa waxa laga wada hadlayo saf kale. Liiska oo dhan waa laba amar iyo hal shax, waana isla shaqada ha ahaado isku-duwaha router, laptop ama qalab.