IKEv1 pamoja na XAuth na OTP: kila kidokezo kinaomba nini
PSK ya kikundi, mabadilishano ya XAuth ya mtumiaji na changamoto ya OTP ni viingizo vitatu tofauti. Oanisha kila kidokezo na mmiliki wake kabla ya kufunga mteja mwingine.
IKEv1 pamoja na PSK, XAuth na OTP haiombi nenosiri moja tata. Inapanga tabaka za ufunguo wa pamoja kati ya wenza, mabadilishano ya mtumiaji, na kipengele cha pili ambacho seva ya nyuma huamua jinsi ya kukiomba. Kila tabaka lina mmiliki wake na ujumbe wake wa kushindwa. Kuchanganya haya huwafanya watu kuandika tena msimbo wa matumizi ya mara moja kwenye sehemu inayohifadhi siri ya kikundi.
Oanisha kila kidokezo na tabaka linalokiomba kabla ya kufunga mteja mwingine au kuweka upya kitambulisho.
Siri tatu, wamiliki watatu
Ufunguo wa pamoja unamilikiwa na uhusiano wa wenza na huwekwa mara moja na anayedhibiti ncha zote mbili. Kitambulisho cha mtumiaji kinamilikiwa na seva ya uthibitishaji na huthibitishwa kila kuingia. Kipengele cha pili kinamilikiwa na mfumo wa tokeni ambao jibu lake hubadilika kila jaribio. Hakuna kinachobadilisha kingine, na usambazaji unaozichukulia kama nenosiri moja hushindwa kwenye tabaka ambalo hakuna aliyelifafanua.
Andika safu tatu: mmiliki, muda wa uhai, na ujumbe wa kushindwa ambao kila moja huzalisha. Jedwali hilo ndilo chombo cha utambuzi, si majina ya sehemu kwenye mteja.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: ya mwenza, si ya mtu
Katika mpangilio huu wa zamani, ufunguo wa pamoja huthibitisha jozi ya lango, kwa hivyo kuingia kwa mtumiaji hakuwahi kuubadilisha. Pia ni thamani inayokosewa kwa urahisi kwa namna inayozalisha hitilafu ya jumla ya majadiliano badala ya kidokezo. Ikiwa handaki inashindwa kabla kidokezo chochote cha mtumiaji kuonekana, ufunguo au mapendekezo ndio washukiwa.
Kitambulisho cha mtumiaji hakiwezi kurekebisha kushindwa kwa awamu ya kwanza. Kukizungusha kunapoteza kitambulisho kimoja tu ambacho unaweza kuzungusha kwa usalama, na kunaimarisha nadharia isiyo sahihi.
XAuth: mabadilishano ya zamani ya mtumiaji
XAuth huongeza mabadilishano ya uthibitishaji wa mtumiaji juu ya uthibitishaji wa wenza wa IKEv1, na lango huamua ni seva gani ya nyuma inayothibitisha. Kutegemea seva hiyo, mabadilishano yanaweza kukubali nenosiri la saraka, kitambulisho cha RADIUS au jibu la tokeni. Neno XAuth hutaja usafirishaji wa mabadilishano, si aina ya kitambulisho.
Angalia ni seva gani ya nyuma ambayo wasifu wa lango unaelekea. Hilo hukuambia mtumiaji ataulizwa nini na kuweka upya nenosiri kunabadilisha nini hasa, na vyote viwili havionekani kwenye wasifu wa mteja.
OTP: chochote anachoomba seva ya nyuma
Baadhi ya usambazaji huomba msimbo wa matumizi ya mara moja tofauti baada ya nenosiri, na wengine hufafanua muundo wa uingizaji wa pamoja wenye kitenganishi kilichofafanuliwa. Vyote viwili vipo, na wasifu ulio mbele yako huamua kipi. Kubuni njia ya kuunganisha kwa sababu ilifanya kazi mahali pengine ndiyo njia ya kawaida ya kuteketeza tokeni ya uandikishaji. Nyaraka za lango yenyewe ndizo chanzo pekee kinachoamua hilo.
Tumia muundo uliofafanuliwa na mteja anayeweza kukamilisha mabadilishano ambayo lango hutoa.
Mahali ambapo mpaka wa mteja huuma
Fortinet inaeleza kwamba FortiClient 7.4.4 na baadaye haitumii tena IKEv1 kwa VPN za IPsec, ambayo ni mpaka wa bidhaa na toleo badala ya kuondolewa kwa jumla, kama inavyoeleza nota ya upatanishi wa FortiClient. Wateja wengine nao hawabadilishani: OpenConnect na openfortivpn huzungumza itifaki maalum za lango, si wasifu wowote wa IKEv1. Angalia toleo la IKE, hali ya PSK, msaada wa XAuth na mtindo wa mwingiliano wa mteja uliosakinishwa moja moja. Mteja anayeunganisha kwa njia nyingine hajathibitisha kuwa hitaji la awali limetimizwa.
IKEv1 imeacha kutumika, kwa hivyo uzinduzi mpya uliojengwa juu ya mteja wa zamani asiyeungwa mkono ni suluhisho la muda mfupi. Omba njia ya uhamishaji inayoungwa mkono kutoka kwa mmiliki wa lango, ikiwa ni pamoja na jinsi kipengele cha pili kitakavyoshughulikiwa hapo.
Kutambua bila kuzima kipengele
Tenganisha hatua kwenye kumbukumbu: majadiliano ya wenza, mabadilishano ya mtumiaji, matokeo ya kipengele cha pili, kisha ugawaji wa anwani na njia. Rekodi sehemu na hatua badala ya kujaribu msimbo katika kila sehemu. Kuzima kipengele ili jaribio lipite huzalisha handaki isiyothibitisha chochote kuhusu usambazaji.
Hifadhi siri za uandikishaji na ufunguo wa pamoja katika hifadhi iliyolindwa kwa kufuata mchakato wa shirika. Msimbo wa matumizi ya mara moja katika faili ya kudumu ni kipengele ambacho kimeacha kuwa kipengele.