AH au ESP? Amua kwa kile kifurushi kinachopaswa kulinda

Mapendekezo mawili ya IPsec yanaweza kutaja algoriti moja ya uadilifu inayotegemea SHA na bado yakahitaji itifaki tofauti za ulinzi; AH na ESP si tahajia mbili za mpangilio mmoja wa uthibitishaji. Soma itifaki kwanza, kisha algoriti zake, kisha hali yake, na utata mwingi hupotea. AH huhakiki kifurushi, ikiwemo sehemu za kichwa cha IP ambazo hazibadiliki safarini, ilhali ESP huhakiki na kuficha kile inachokifunga na kuacha kichwa cha nje. Tofauti hiyo huamua usambazaji mwingi kuliko jina lolote la hashi.

Kile AH inashughulikia ambacho ESP haifanyi

AH hutoa uadilifu, uthibitishaji wa asili ya data na huduma ya kuzuia kurudiwa ambayo yenyewe hufafanua, na hakuna usiri wowote. Ushughulikiaji wake unajumuisha data ya tabaka la juu na sehemu za kichwa cha IP ambazo kanuni zake huziona kuwa zisizobadilika, yaani sehemu ambayo ESP katika hali ya usafirishaji huiacha nje. Pale hitaji linaposema kwamba kichwa cha IP chenyewe kinapaswa kuhakikiwa, AH ndiyo itifaki inayojibu.

Ushughulikiaji huu ndio sababu AH ni dhaifu kwa vitendo. Sehemu zinazobadilika kama TTL, jumla ya ukaguzi wa kichwa na baadhi ya chaguo haziwezi kuhakikiwa kwa sababu vipanga njia zinaweza kuziandika upya, hivyo itifaki huzifanya sifuri kabla ya kukokotoa ukaguzi. Kwa hiyo chochote kinachoandika anwani upya huvunja hesabu, si sera tu.

NAT hufanya chaguo kuwa kikwazo

Tafsiri ya anwani huandika upya chanzo au lengwa katika kichwa cha IP ambacho AH imekihakiki hivi punde, hivyo ukaguzi wa uadilifu hushindwa upande wa pili, na hushindwa kama kosa la itifaki na si kama ujumbe unaoweza kusomwa. ESP haihakiki kichwa cha nje, ndiyo sababu ESP pamoja na kupita NAT hufanya kazi ilhali AH nyuma ya NAT haifanyi. Handaki ambayo pande zake zote ziko nyuma ya vipanga njia vya kawaida ndiyo mahali hasa jambo hili huonekana kwanza. Kwa hiyo swali la kwanza si itifaki ipi ina nguvu zaidi, bali kama kuna mtafsiri kati ya pande.

Ikiwa kuna, AH hutoka, na mazungumzo huhamia ESP na chaguo zake za algoriti. Hii ni kikwazo na si upendeleo, ndiyo sababu iko mwanzoni wa uamuzi na si mwishoni.

Hali huongeza swali maradufu

ESP katika hali ya usafirishaji hulinda mzigo wa tabaka la juu na kuacha kichwa cha IP; katika hali ya handaki hufunga kifurushi chote cha ndani, ikiwemo kichwa cha IP cha ndani, na kukilinda. AH ina hali hizo mbili, hivyo AH au ESP kwa kweli ni michanganyiko minne kabla ya kuchagua algoriti yoyote.

Algoriti za ESP za hali mchanganyiko huamua uadilifu bila itifaki ya pili. AES-GCM na ChaCha20-Poly1305 huhakiki na kuficha katika muundo mmoja, hivyo kuongeza AH juu hakununui chochote lakini hugharimu kichwa kingine na mazungumzo mengine. Usanifu unaruhusu AH na ESP pamoja, na swali la kiutendaji ni kama lango lako na toleo lako zinaunga mkono mchanganyiko huo na kama mtu ataweza kuutunza baadaye.

Mbadala wa uaminifu kwa AH pekee

Aina ya ESP ya uadilifu pekee huhifadhi algoriti na kuacha dai la ufichaji badala ya kulighushi, na hupita NAT. Ikiwa muundo wa zamani ulitumia AH kwa sababu ulihitaji uthibitishaji bila usiri, aina hiyo ndiyo tafsiri ya moja kwa moja, si handaki lililofichwa lenye noti iliyoambatishwa.

Kuona ESP katika pendekezo pia si uthibitisho wa ufichaji. Soma algoriti ya ufichaji: ingizo la NULL humaanisha uadilifu pekee, na ingizo la hali mchanganyiko humaanisha vyote viwili.

Amua kwa maswali matatu

Uliza kama usiri unahitajika, kama kuna mtafsiri njiani, na sehemu zipi za kichwa zinapaswa kuhakikiwa. Majibu hayo matatu yanaelekeza itifaki moja na hali moja, na kuyaandika huchukua muda mfupi kuliko kusoma RFC tena baadaye.

Kisha hakiki kilichokubaliwa na si kilichopendekezwa. ip xfrm state huonyesha itifaki, hali na algoriti za muungano uliosakinishwa, na kutokulingana hakuweki chochote, ambayo ni kushindwa safi zaidi kuliko handaki linaloinuka bila ulinzi uliokusudiwa.

Tenganisha kushindwa kwa uthibitishaji, ushughulikiaji wa wateuzi na makosa ya uelekezaji na chaguo hili. Zinatoa dalili tofauti, na kulaumu itifaki kwa tatizo la kiteuzi ni njia ya kuaminika ya kutumia siku moja ukibadilisha hashi bila sababu.