IKEv1 dhidi ya IKEv2 kwa ufunguo ulioshirikiwa awali: utambulisho unatofautiana vipi

Lango mbili zilizowekwa na ufunguo mmoja ulioshirikiwa awali hukamilisha handshake, na rekodi ya pakiti haionyeshi siri yoyote inayovuka waya. Hiyo ndiyo sehemu ambayo watu huikumbuka. Sehemu ya kuvutia ni kile kila toleo hukokotoa kwa kweli ili kuthibitisha kuwa siri inajulikana, kwa sababu IKEv1 na IKEv2 hujenga uthibitisho huo kutoka data tofauti na hufichua taarifa tofauti wakati wa kufanya hivyo. Soma nyayo mbili kando kando na tofauti huacha kuwa ya urembo.

Kile uthibitisho unapaswa kufikia

Diffie-Hellman huwapa pande zote thamani ya pamoja ambayo nusu zake za umma mtu yeyote anayetazama anaweza pia kuikokotoa. Yenyewe haithibitishi chochote kuhusu utambulisho: mshambuliaji anayekamilisha ubadilishanaji wa ufunguo ana thamani sawa ya pamoja na lango lako. Hatua ya uthibitishaji ipo ili kuunganisha ubadilishanaji huo na siri ambayo pande zilizokusudiwa tu zinayo, na na utambulisho na vigezo walivyokubaliana.

Muunganisho huo ndio sababu heshi inashughulikia zaidi ya ufunguo. Kama ingeshughulikia siri tu, mshambuliaji angeweza kuirudia katika ubadilishanaji mwingine wenye utambulisho au mapendekezo tofauti.

IKEv1 Main Mode: toa SKEYID, kisha ithibitishe

Main Mode huendesha jumbe sita. Jozi ya kwanza hujadiliana muungano wa usalama, ya pili hubadilishana thamani za umma za Diffie-Hellman na nonce, na ya tatu hubeba utambulisho pamoja na heshi za uthibitishaji chini ya usimbaji fiche ulioundwa hivi punde. RFC 2409 inafafanua muundo: kwa uthibitishaji wa ufunguo ulioshirikiwa awali, SKEYID hutolewa kutoka siri na nonce zote mbili, na nyenzo za ufunguo za baadaye kutoka SKEYID, thamani ya pamoja ya Diffie-Hellman, vidakuzi na vibadala.

Heshi katika ujumbe wa tano na wa sita hukokotolewa juu ya thamani ya Diffie-Hellman, vidakuzi viwili, pendekezo na utambulisho wa mtumaji, kwa SKEYID kama ufunguo. Mpokeaji huikokotoa tena kwa siri yake iliyowekwa. Kutokufanana huhitimisha ubadilishanaji, na siri yenyewe kamwe si mzigo.

Aggressive Mode hukandamiza kazi hiyo hiyo katika jumbe tatu, ikimaanisha utambulisho na heshi ya uthibitishaji husafiri kabla ya kituo kilichosimbwa kuwepo. Hiyo ni mfiduo halisi kwa siri inayoweza kukisiwa, na ni tofauti na swali la kama siri ilipitishwa. IKEv1 imepitwa na wakati na RFC 9395, kwa hiyo nyayo ya zamani ni zoezi la utambuzi, si lengo la usambazaji.

IKEv2: utohozi tofauti na mzigo wa AUTH tofauti

IKEv2 haitumii tena ratiba ya ufunguo ya IKEv1. Funguo za awali za IKE hutoka kwenye mbegu iliyojengwa kutoka nonce na thamani ya pamoja ya Diffie-Hellman, na muungano wa usalama wa watoto hutolewa kutoka hapo. Ufunguo ulioshirikiwa awali haulishi mbegu hata kidogo.

Uthibitishaji kisha huonekana kama mzigo wa AUTH. Kwa uthibitishaji wa ufunguo wa pamoja, RFC 7296 inabainisha umbo lililowekwa pedi la siri, linalopatikana kwa kuheshi siri na mfuatano usiobadilika Key Pad for IKEv2, kisha kuheshi data ya ubadilishanaji iliyotiwa saini na utambulisho kwa ufunguo huo uliowekwa pedi. Mthibitishaji anaweza kuunda tena thamani hiyo; mtazamaji hawezi, bila siri.

Angalia kilichobadilika. Katika IKEv1 siri imeokwa ndani ya ratiba ya ufunguo kabla heshi ya uthibitishaji haipo; katika IKEv2 ratiba ya ufunguo haitegemei siri na uthibitisho ni mzigo tofauti uliofungwa na okteti zilizotiwa saini. Dhamana ile ile ya kimawazo, mashine tofauti, na ndio sababu majina ya vigezo na rekodi hazioani moja kwa moja.

Mtazamaji hujifunza nini kwa kweli

Thamani za umma za Diffie-Hellman, mapendekezo, nonce na vidakuzi huonekana katika toleo zote mbili. Utambulisho huonekana katika IKEv1 Aggressive Mode na hulindwa katika hali nyingine. Siri haionekani kamwe.

Sentensi hiyo ya mwisho ina kikomo kinachostahili kutajwa. Siri dhaifu iliyochaguliwa na mtu inaweza kushambuliwa kwa kukisiwa: mshambuliaji hukokotoa thamani ya uthibitishaji ingekuwa nini kwa siri ya dhana na hulinganisha. IKEv1 Aggressive Mode hufanya hili liwe la bei ndogo zaidi kwa sababu ushahidi uko wazi, na viwango huonya kuhusu siri zenye entropia ndogo kwa ujumla. Kutotuma siri kamwe si sawa na kuifanya siri mbaya kuwa salama.

Nini cha kufanya na ulinganisho

Tumia siri moja ya kipekee kwa kila jozi ya wenza, itengeneze kutoka chanzo cha nasibu, na uizungushe kupitia njia ile ile ya uandalizi iliyoisambaza. Ikiwa siri imehifadhiwa katika kiolezo cha usanidi kinachotumwa kwa kila tawi, mwanguko katika eneo moja ni mwanguko kila mahali.

Pendelea uthibitishaji unaotegemea cheti pale gharama ya uendeshaji inakubalika, kwa sababu huondoa tatizo la kukisia siri ya pamoja na humpa kila mwenza utambulisho tofauti. Pale ufunguo ulioshirikiwa awali unabaki, uwe mrefu, uwe na wigo mwembamba, na chukulia toleo la IKE kama uamuzi wa usalama, si undani wa uwiano.