Çfarë bën një çelës i para-ndarë në IPsec, OpenVPN dhe WireGuard

Fjalët çelës i para-ndarë shfaqen në dokumentacionin e IPsec, OpenVPN dhe WireGuard, por përshkruajnë tre objekte të ndryshme. Njëri është sekret vërtetimi, tjetri mbron një kanal kontrolli, dhe i treti shton material në një shtrëngim duarsh që tashmë ka identitete. Nëse i trajtoni si të këmbyeshëm, merrni një lidhje që dështon në një fazë që askush nuk e priste. Lexoni çfarë bën fusha në atë protokoll përpara se të kopjoni një vlerë në të.

Tre protokolle, tre kuptime

Secili protokoll përcakton detyrën e çelësit në specifikimin e vet, dhe këto detyra nuk mbivendosen. Një sekret vërtetimi provon se dy palë njohin të njëjtën vlerë. Një çelës i kanalit të kontrollit mbron negociatat që pasojnë. Një shtesë për shtrëngimin e duarve ndryshon planin e çelësave pa ndryshuar kush janë palët.

Asnjë prej këtyre roleve nuk vërteton një njeri, dhe pikërisht kjo ngatërresë kushton më shumë kohë. Një çelës i para-ndarë vendoset në pajisje ose porta para shkëmbimit, kështu që çdo mbajtës duket i njëjtë për palën tjetër. Kjo veti është avantazh për një lidhje midis dy ruterave dhe rrezik për një shërbim aksesi në distancë me punonjës të emëruar. Mbani kredencialet e llogarisë dhe sekretin kriptografik në kolona të ndara të dokumentit që përshkruan vendosjen.

IPsec dhe OpenVPN e përdorin fjalën ndryshe

IKEv2 mund të vërtetojë një palë me një sekret të para-ndarë në vend të certifikatave, dhe vlera duhet të përputhet në të dy skajet. Meqenëse i njëjti sekret zakonisht konfigurohet për një grup palësh, çdo mbajtës mund të imitojë të tjerët, dhe shkëmbimi nuk fiton asnjë konfidencialitet përpara nga çelësa identiteti që nuk i ka pasur kurrë.

Opsionet tls-auth dhe tls-crypt të OpenVPN bashkangjitin një çelës statik kanalit të kontrollit, duke shtuar një nënshkrim HMAC ose duke kriptuar vetë negociatat. Ky çelës nuk është fjalëkalim përdoruesi dhe nuk zëvendëson certifikatën e klientit. Dallimi ka rëndësi në rinovim, kur një ndryshim fjalëkalimi e lë çelësin e kanalit të kontrollit të paprekur.

PSK i WireGuard shton, nuk identifikon

Palët e WireGuard kanë tashmë çelësa publikë dhe privatë Curve25519, dhe shtrëngimi i duarve vërteton këto identitete. Një çelës i para-ndarë opsional përzihet në çelësin e zinxhirit dhe shton material simetrik mbi shkëmbimin e çelësave publikë.

Nuk ofron identitet të vetin dhe as llogari përdoruesi, kështu që një operator nuk mund të dallojë dy mbajtës nga PSK-ja e tyre. Të dy skajet duhet të mbajnë të njëjtën vlerë, përndryshe shtrëngimi i duarve dështon pa një mesazh të dobishëm gabimi. Prandaj rotacioni duhet planifikuar për të dyja anët njëkohësisht, jo si redaktim i një skedari të vetëm.

Kontrolloni shpërndarjen, rotacionin dhe heqjen

Shpërndarja është pika e dobët e çdo dizajni që përdor një sekret në shumë vende. Një vlerë e ngjitur në një dritare bisede, e ruajtur në një depo ose e ripërdorur midis mjediseve grumbullon kopje që askush nuk mund t'i numërojë, dhe çdo kopje zgjeron në heshtje rrezen e dëmit.

Teksti Base64 nuk është kriptim. Një sekret i ruajtur pranë një certifikate publike në të njëjtin direktori mbetet sekret në tekst të hapur.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Roton në një plan dhe pas çdo ekspozimi të dyshuar, duke përditësuar çdo palë të planifikuar përpara se të revokoni vlerën e vjetër. Më pas provoni lidhjen nga të dy skajet, sepse një çelës që nuk përputhet dështon në shtrëngimin e duarve dhe duket saktësisht si një problem muri zjarri.

Dokumentoni cili sekret mbron cilën fazë, që një rivendosje fjalëkalimi të mos ngatërrohet kurrë me rinovimin e një çelësi kriptografik. Ai një rresht kursen një orë sa herë që dikush auditon vendosjen.