Çelësi IPsec i ndarë paraprakisht: bajtët pas vargut që shtypët

Dy administratorë krahasojnë sekretin në ekran, bien dakord se përputhet, dhe tuneli përsëri dështon në vërtetim. Vargu që krahasuan nuk është vlera që çdo skaj fut në nxjerrjen e çelësit. Midis karaktereve që shihni dhe bajtëve që protokolli hash-on ka një lloj fushe, një kodim teksti, një redaktues dhe një clipboard, dhe secili prej të katërve mund të ndryshojë hyrjen pa ndryshuar pamjen. Krahasoni bajtët dhe mospërputhja zakonisht shfaqet brenda sekondave.

Çfarë bën porta me vargun

Një çelës i ndarë paraprakisht nuk dërgohet përgjatë rrjetit dhe nuk krahasohet. Secili skaj fut kopjen e vet lokale në nxjerrjen e çelësit për shkëmbimin IKE, dhe ngarkesat e vërtetimit që rezultojnë ose verifikohen ose jo. Ky dizajn do të thotë që dy kopjet duhet të jenë identike në bajtë dhe jo thjesht vizualisht të ngjashme, dhe gjithashtu do të thotë që dështimi raportohet në fazën e vërtetimit dhe jo si një mesazh për fjalëkalim të gabuar.

Prandaj pyetja e dobishme nuk është kurrë «a duken këto njësoj», por «cila sekuencë e saktë bajtësh hash-on çdo implementim».

Nga vijnë bajtët shtesë

Një rresht i ri në fund është fajtori klasik dhe fshihet në sy të hapur, sepse shumica e redaktuesve shtojnë një në mënyrë të padukshme kur ruhet një skedar. Një hapësirë në fillim ose në fund e ngjitur nga një dritare bisede bën të njëjtën gjë, dhe po ashtu bën një thonjëz tipografike e zëvendësuar me një të drejtë nga një përpunues teksti. Asgjë nga këto nuk ndryshon krahasimin vizual që bën një person.

Krahasoni me një mjet që shfaq bajtë dhe jo glifë. printf '%s' "$PSK" | xxd | tail -2 shtyp fundin e vlerës në heksadecimal, ku një 0a ose 20 i humbur është i dukshëm. Bëjeni në të dy skajet dhe krahasoni dy shkarkimet krah për krah. Bëjeni në material testimi të gjeneruar, jo në një sekret prodhimi që pastaj e lini në historikun e shell-it.

I koduar nuk do të thotë i kriptuar

Eksportet e konfigurimit shpesh e mbajnë sekretin në një kodim bazë, ndonjëherë me thyerje rreshti çdo gjashtëdhjetë ose shtatëdhjetë e gjashtë karaktere dhe ndonjëherë me mbushje. Nëse një skaj pret bajtët e dekoduar dhe ju ngjitni tekstin e koduar, nuk keni dërguar një fjalëkalim tjetër, keni dërguar një shumë më të gjatë të bërë nga karaktere të shtypura. Base64 nuk ofron fare konfidencialitet, dhe kjo është arsyeja pse një sekret i koduar nuk duhet ngjitur kurrë në një forum për një mendim të dytë.

Fjalori IPSec i Apple është një shembull i dobishëm që lloji ka rëndësi: dokumenton SharedSecret si të dhënë për metodën e vërtetimit me sekret të ndarë në ngarkesat L2TP dhe Cisco IPsec. Kjo është një veti specifike në një ngarkesë specifike, jo një fushë teksti e përgjithshme që mund të përdorni përsëri për një protokoll tjetër që rastësisht kërkon një sekret.

Një kufi i pretenduar i përket një kombinimi

Raportet e vjetra për një tavan prej tridhjetë e dy karakteresh në një klient Apple janë raporte të vërteta për një version klienti, protokoll dhe formë profili. Ato nuk janë një kufi universal për çdo platformë Apple, çdo ofrues dhe çdo protokoll. Kontrolloni versionin, llojin e ngarkesës dhe kërkesën e portës së bashku, pastaj testoni në një konfigurim të miratuar në vend që të nxirrni përfundime nga një fije. Shkruani kombinimin e testuar në regjistrin e ndryshimeve, përndryshe personi tjetër do të citojë të njëjtën fije me më shumë besim sesa meriton.

Nëse një kufi zbatohet vërtet, përgjigja është një dizajn i mbështetur kredencialesh që përshtatet në të, jo një version i shkurtuar i një sekreti të fortë. Shkurtimi i një çelësi prodhimi për të përmbushur një kufi të supozuar e zvogëlon përgjithmonë forcën e tij dhe prodhon një sistem dokumentacioni i të cilit nuk përputhet më me sigurinë e tij.

Rregulloni paraqitjen, jo forcën

Kur vërtetimi dështon pas konfirmimit të paraqitjes, lexoni politikën efektive në fazën e vërtetimit: cila metodë po negociohet, cila identitet palë pritet dhe nëse porta përputhet me lidhjen që mendoni. Supozimet gjithnjë e më të dobëta nuk janë diagnozë, ato janë një degradim i ngadaltë me një biletë mbështetjeje të bashkangjitur.

Nëse kredencialet e kërkuara nuk mund të përmbushin standardin e organizatës, ndryshoni dizajnin në një që mundet. Një sekret i ndarë me entropi të mjaftueshme, i gjeneruar një herë, i ruajtur në një fushë të menaxhuar dhe i papublikuar kurrë, është një përgjigje krejt e mirë; një version më i shkurtër i tij nuk është.