tls-auth dhidi ya tls-crypt: kila moja inalinda nini katika OpenVPN

Chaguo zote mbili hutumia faili moja ya ufunguo iliyoshirikiwa na zote mbili hufanya trafiki ya kupeana mikono iwe ngumu kughushiwa, ndiyo sababu huchukuliwa kama majina mawili ya kipengele kimoja. Si hivyo. Kimoja husaini pakiti za udhibiti, kingine huzisimba pia, na hakuna kinachohusiana na sifuri inayolinda data yako.

Tofauti hiyo ni muhimu wakati wasifu unashindwa kuunganisha, wakati ukaguzi wa usalama unauliza ufunguo unalinda nini, na wakati mtu anadhani faili ya ziada hufanya handaki liwe limefichwa kwa njia isiyo eleweka.

Ufunguo wa pamoja unalinda nini kwa kweli

Ufunguo unaotumiwa na chaguo hizi ni wa kituo cha udhibiti: mabadilishano yanayojadili vigezo, yanayothibitisha utambulisho na yanayotoa funguo za data. Ni siri iliyoshirikiwa mapema ambayo ncha zote mbili lazima ziwe nayo kabla kupeana mikono kuendelea. Kwa kuwa iko kabla ya ukaguzi wa utambulisho, ufunguo mbaya husimamisha mazungumzo mapema kuliko neno la siri baya lingefanya. Mpangilio huo unaeleza kwa nini hali ya kushindwa ni kimya sana.

tls-auth hutumia siri hiyo kukokotoa HMAC juu ya pakiti za udhibiti. Pakiti isiyo na sahihi halali hutupwa kabla ya kufikia usindikaji wa TLS wenye gharama kubwa, ndiyo sababu chaguo hili hufafanuliwa mara nyingi kama kichujio cha kwanza na si mbadala wa TLS.

tls-crypt huenda mbali zaidi kwa kusimba trafiki ya udhibiti iliyolindwa pamoja na kuithibitisha. Yaliyomo ya vyeti, majina ya sifuri yaliyojadiliwa na maelezo mengine ya kupeana mikono hayaonekani tena kwenye mtandao, na mwangalizi asiye na ufunguo hawezi hata kuona ni toleo gani la TLS linalojaribiwa. Kwa usambazaji unaoogopa kufichua alama ya kidole ya VPN yake, sifa hiyo ndiyo sababu kuu ya kuichagua. Bado ni siri ya kikundi, si hati ya utambulisho kwa mtumiaji mmoja.

Hakuna utaratibu unaotoa utambulisho. Ufunguo wa pamoja ni siri ya kikundi, na yeyote aliye nao anaweza kutimiza tabaka hilo la ukaguzi.

Chaguo mbili zinatofautiana wapi

Tofauti inayoonekana ni kile mwangalizi anachokiona. Kwa tls-auth kupeana mikono kunaonekana lakini hakuwezi kuthibitishwa bila ufunguo. Kwa tls-crypt kupeana mikono hakuonekani kwa yeyote asiye na ufunguo.

Usanidi pia unatofautiana. tls-auth hutumika na thamani ya mwelekeo, hivyo upande mmoja hutumia nusu moja ya nyenzo za ufunguo na upande mwingine nusu nyingine. tls-crypt hutumia ufunguo mmoja katika mielekeo yote miwili, hivyo maagizo ya mwelekeo hayako katika mpango wake.

Katika matoleo ya kisasa chaguo hizi mbili hukataliana. Wasifu unapaswa kubeba moja yao, si zote mbili, na seva na mteja lazima wakubaliane ni ipi, na nyenzo za ufunguo zinazolingana. Kuweka agizo la zamani kando ya jipya ni mabaki ya kawaida ya uhamishaji. Ondoa lile lisilotumika ili msomaji anayefuata ajue tabaka lipi lina nguvu kweli.

Aina mpya zaidi, tls-crypt-v2, hufunga kila mteja na ufunguo wake mwenyewe uliofumbwa, hivyo kufuta mteja mmoja hakuhitaji kutoa tena ufunguo wa kikundi. Inafaa kuijua, lakini ni chaguo tofauti na si kisawe cha yoyote ya hizo mbili hapa.

Kwa nini kutokulingana huonekana kana kwamba hakuna kinachotokea

Wakati nyenzo za pamoja hazilingani, ncha nyingine hutupa pakiti bila kumwambia mtumaji kwa nini. Hakuna hitilafu ya uthibitisho ya kusoma, kwa sababu pakiti haikufika kamwe kwenye tabaka ambalo lingeizalisha.

Mteja hujaribu tena, seva haisemi kitu, na dalili huonekana kama tatizo la mtandao. Kisha watu huwasha tena huduma, huandika tena neno la siri la akaunti, au huondoa maagizo ya ulinzi ili «kujaribu», jambo ambalo hubadilisha usambazaji badala ya kuugundua.

Soma kwenye kumbukumbu ya seva malalamiko ya kwanza ya ngazi ya pakiti badala ya mstari wa mwisho wa kujaribu tena. Thibitisha kwamba pande zote mbili zina chaguo moja na nyenzo za ufunguo zinazolingana na kwamba faili ya ufunguo haikutengenezwa upya upande mmoja tu.

Kuondoa maagizo si ukarabati salama. Huzima tabaka la ulinzi kwa kila mteja, na handaki linalofanya kazi baada ya hapo huthibitisha tu kwamba tabaka hilo ndilo lililokuwa kutokulingana.

Kinachopaswa bado kusanidiwa kando

Chaguo hizi hazithibitishi mwenzake ni nani. Uthibitisho wa vyeti, nanga ya uaminifu na jina la seva linalotarajiwa hubaki kuwa mahitaji tofauti, na hakuna hata moja linalokuwa la hiari kwa sababu ya uwepo wa ufunguo wa pamoja.

Pia hazichagui sifuri ya data. Hiyo ni mazungumzo tofauti yanayodhibitiwa na mipangilio ya kituo cha data kwa pande zote mbili, na handaki linalolindwa na tls-crypt bado linaweza kutumia sifuri ambayo hukutarajia.

Mwisho, ufunguo wa pamoja wenyewe unahitaji utunzaji. Uchukulie kama siri, usambaze kupitia kituo kilichoidhinishwa, na ubadilishe wakati yeyote aliyekuwa nao anaondoka. Kwa kuwa umeshirikiwa, kufichuka kwake ni kufichuka kwa kila ncha inayoutumia.