Çfarë provon dhe çfarë nuk provon specifikimi i protokollit VPN

Dokumenti i protokollit është një kontratë midis implementimeve, dhe leximi me kujdes ju tregon çfarë do të shkëmbejnë dy palë përputhëse dhe cilat veti projektuesit synonin të garantonin. Ai nuk ju tregon cila skedar binar po funksionon në serverin me të cilin lidheni, si u konfigurua ai server ose çfarë ndodh më pas me regjistrin e llogarisë tuaj. Këto janë tre lloje të ndryshme provash, dhe trajtimi i specifikimit si të treja është mënyra se si një emër protokolli fillon të bëjë punë që nuk mund ta bëjë. Ndarja e të treve është i gjithë ushtrimi.

Dokumenti është fillimi i një argumenti, jo përfundimi i tij.

Çfarë specifikon në të vërtetë dokumenti

Për WireGuard, përshkrimi i protokollit përcakton një shtrëngim duarsh Noise IK, një grup fiks primitivësh, planimetritë e mesazheve dhe kornizimin e transportit që më pas mbart paketat. Për IKEv2, artifakti i krahasueshëm është RFC 7296, i cili specifikon shkëmbimet, ngarkesat dhe negocimin e propozimeve. Në të dyja rastet fusha është e saktë: mesazhet, makina e gjendjes dhe supozimet nën të cilat vlejnë objektivat e sigurisë.

Mënyrat opsionale e komplikojnë leximin. Një veti që vlen për një shtrëngim duarsh mund të mos zbatohet për një vendosje me një rregullim tjetër vërtetimi ose një konfigurim rezervë.

Ku ndalen garancitë

Një analizë formale i përgjigjet një pyetjeje për një model. Puna e verifikimit të WireGuard përdor një model simbolik në provuesin Tamarin, i cili mund të tregojë se dizajni u reziston sulmeve të caktuara sipas supozimeve të tij; nuk tregon se një implementim i dorëzuar në hapësirën e përdoruesit nuk ka asnjë defekt sigurie memorieje. Pikërisht në këtë hendek midis modelit dhe makinës jetojnë incidentet reale. Të lexosh një provë si certifikatë implementimi është gabim kategorie.

Fshehtësia përpara ilustron të njëjtin kufi. Vetia varet nga shkatërrimi i çelësave siç synon protokolli, dhe kjo është veti e implementimit dhe e mjedisit të tij, jo e formatit të mesazhit. Një dizajn që parashikon fshirjen nuk mund ta imponojë atë në një platformë që e kalon memorjen në disk.

Varësitë me shtresa e zgjerojnë më tej hendekun: biblioteka TLS pas një tuneli të bazuar në TLS, ndërfaqja e kernelit që përdor një tunel në hapësirën e përdoruesit dhe gjeneratori i numrave të rastësishëm qëndrojnë të gjitha jashtë tekstit të protokollit.

Ndiqni bajtët deri në ndërtim

Kaloni nga dokumenti te artifaktet duke identifikuar versionet dhe më pas duke i krahasuar me atë që shërben vërtet trafikun. Një produkt që emërton një protokoll mund të shtojë komponentë furnizimi, telemetrie dhe menaxhimi që specifikimi nuk i përshkruan kurrë.

openvpn --version | head -3
wg --version
dpkg -l | grep -E 'openvpn|wireguard|libssl'
ss -lunp | grep -E '1194|51820'
sha256sum ./wireguard-tools_1.0.20210914_amd64.deb

Ndërtimet e riprodhueshme dhe shumat e kontrollit të publikuara bëjnë të mundur lidhjen e një peme burimore me një skedar binar të shpërndarë. Pa atë lidhje, burimi i publikuar provon vetëm se inspektimi është i mundur, jo se skedari që ekzekutohet përputhet me të.

Konfigurimi i përket të njëjtit hap. Grupet e shifrave, palët e lejuara dhe cilësimet e rrugëtimit janë zgjedhje vendosjeje, dhe një ndërtim përputhës i konfiguruar me neglizhencë prodhon përsëri një tunel të dobët.

Mbani praktikat operative të ndara

Regjistrat e llogarive, të dhënat e pagesave dhe kërkesat për mbështetje janë vendime të operatorit që asnjë tekst protokolli nuk i kufizon. Një raport auditimi mbulon komponentë të emërtuar brenda një fushe të deklaruar, dhe një politikë privatësie përshkruan synime dhe praktika; asnjëra nuk zëvendëson tjetrën, dhe asnjëra nuk është deklaratë kriptografike.

Përfundimi i saktë është kumulativ: specifikimi shpjegon dizajnin, ndërtimi dhe konfigurimi shpjegojnë tunelin, dhe praktikat e dokumentuara të operatorit shpjegojnë gjithçka që tuneli nuk e sheh kurrë. Thoni cilën prej tyre verifikuat, dhe pretendimi mbetet i vërtetë.