Je, unapaswa kurundika tabaka mbili za VPN? Masharti matatu ya kukagua

Kabla ya kuongeza tabaka la pili la usimbaji fiche kwenye VPN, jibu kwa uaminifu swali moja: mwangalizi anashikilia nini bado baada ya tabaka zote mbili kufanya kazi yao? Ikiwa jibu ni maandishi ya siri ya ndani, bila kubadilika, basi kuweka tabaka kulununua muda na hakuna kingine. Kinachofuata ni utaratibu wa uamuzi, si pendekezo. Mchoro huo huo ni kichakataji kilichopotea katika usambazaji mmoja na jibu sahihi katika mwingine, na masharti matatu pekee yanatenganisha hayo mawili.

Andika kile mwangalizi anahifadhi

Rekodi kitu ambacho adui anaweza kuhifadhi leo, kisha mfululizo wa uondoaji ambao hatimaye utafichua maandishi wazi. Handaki la nje huzalisha maandishi ya siri; ulinzi wake unapoisha, kinachobaki ni maandishi ya siri ya handaki la ndani, bado yametiliwa muhuri. Kuondoa kifuniko si usimbuaji. Sentensi hiyo inaeleza kuweka tabaka, na inatumika tu maadamu ufunguo wa ndani unaendelea kuishi. Wakati tabaka mbili zinashiriki kitu chochote, mstari wa muda unaanguka kuwa tukio moja.

Kwa hiyo kitu muhimu ni mstari wa muda, si mchoro wa masanduku. Kwa kila tabaka, andika mwisho, mmiliki wa ufunguo, ukaguzi wa utambulisho na mwaka ambao dhana inatarajiwa kushindwa.

Njia ya vitendo ya kujaribu madai yako mwenyewe: chukulia kwamba mwangalizi anarekodi kila kitu na haachi kamwe. Chini ya dhana hiyo, je, muundo bado unalinda mzigo kwa muda wote unaohitajika? Ikiwa jibu linategemea mwangalizi kuchagua kutohifadhi trafiki, muundo hauna jibu.

Sharti la kwanza: je, tabaka zinaishia sehemu tofauti?

Kuweka tabaka kunalipa wakati tabaka mbili zinaishia katika maeneo tofauti ya uaminifu, kwa mfano lango la IPsec linalosimamiwa na mtoa huduma mbele ya handaki la ngazi ya programu linaloishia ndani ya mtandao wako mwenyewe. Hapo kuvunja tabaka la nje hutoa maandishi ya siri ambayo mwenyeji wako pekee anaweza kufungua, na mtoa huduma haoni maandishi wazi wakati wowote. Weka tabaka zote mbili kwenye lango moja na sifa hiyo inatoweka. Yeyote anayevunja sanduku husoma trafiki kati ya shughuli mbili za usimbuaji, bila kujali mchoro unaonyesha vifuniko vingapi.

Kagua hilo kwa hali iliyosakinishwa na si kwa muundo. Kwenye Linux, ip xfrm state huorodhesha kila muungano wa usalama na ncha zake za mwisho, jambo linaloamua kila tabaka linaishia wapi kwa kweli.

Sharti la pili: je, nyenzo ya ufunguo ni huru kwa kweli?

Tabaka mbili zilizojengwa kutoka cheti kimoja, ufunguo mmoja ulioshirikiwa mapema au maktaba moja ya muuzaji ni tabaka moja lenye hatua za ziada. Hapo ufichuzi mmoja wa vitambulisho hufungua zote mbili, na hitilafu moja ya utekelezaji huondoa zote mbili kwa pamoja. Uhuru lazima uonekane katika usanidi, si kudaiwa kwenye slaidi.

Hapa uwekaji wa funguo mseto unashinda kurundika handaki. IKEv2 inaweza kubeba mabadilishano kadhaa ya funguo katika mazungumzo moja, kwa hiyo kundi la kawaida na KEM ya baada ya kwantumu zote zinaweza kulisha funguo zile zile za kipindi badala ya kufungwa moja kuzunguka nyingine. Matokeo ni muungano mmoja wa usalama ambao funguo zake zinategemea siri zote mbili, na mshambuliaji lazima avunje zote mbili. Hii ni ujenzi ulioandikwa wenye muundo maalum, ambao si rundiko la nyumbani la bidhaa mbili za VPN. Kwenye strongSwan, swanctl --list-sas huchapisha pendekezo lililojadiliwa kwa kila SA, na hivyo unathibitisha kilichokimbia kwa kweli, si ulichoweka.

Sharti la tatu: je, data inaishi zaidi ya dhana ya nje?

Tabaka ambalo lazima lidumu miaka ishirini linahitaji hoja ya miaka ishirini. Kurekodi sasa na kusimbua baadaye ni rahisi, na ndiyo sababu tabaka la nje la kawaida haliwezi kuchukuliwa kama kifuniko cha muda kuzunguka kitu chenye nguvu zaidi.

Uliza ni lini kila ufunguo unakuwa unaweza kurejeshwa, si kama usimbaji umevunjwa leo. Ubadilishanaji tuli wa funguo bila usiri wa mbele hushindwa kwa nyuma siku ufunguo wa faragha unapoanguka. Makubaliano ya funguo ya muda hushindwa tu kwa vipindi ambavyo mshambuliaji anaweza kushambulia wakati vinaishi, au wakati algoriti yenyewe inadhoofika. Tofauti hiyo huamua ikiwa tabaka la ndani bado linasaidia mwaka 2040. Pia huamua ikiwa tabaka la nje linabadilisha chochote, kwa sababu tabaka la nje lenye maisha dhaifu ya ufunguo huja kuwa ncha ya mwanzo kabisa kwenye mstari wa muda.

Nini cha kujenga badala yake wakati jibu ni hapana

Ikiwa lolote la masharti matatu linashindwa, acha kurundika na tumia juhudi kwenye tabaka linalobeba kwa kweli mahitaji ya muda wa maisha. Sanidi ubadilishanaji mseto wa funguo katika itifaki unayoendesha tayari, weka utekelezaji ukiwa wa kisasa, na andika muundo unaoutegemea. Kutaja ML-KEM katika hati ya muundo si sifa ya usalama, na FIPS 203 inafafanua utaratibu wa ufungaji wa funguo, si handaki lako.

Mahali ambapo tabaka la pili linastahili nafasi yake kwa kweli, lieleze kama ulinzi wa kina na si kama uthibitisho. Kisha thibitisha muundo: ncha gani ya mwisho inashikilia ufunguo gani, utambulisho gani kila upande hukagua, na mwendeshaji mwenye ufikiaji wa konsoli anaweza kusoma nini. Muundo unaostahimili maswali hayo matatu unastahili kichakataji cha ziada. Usiostahimili ni mchoro tu.

Kabla ya dirisha la mabadiliko, nasa jedwali la sasa la SA na mapendekezo yaliyojadiliwa, na baada yake yanase tena na ulinganishe, kwa sababu ushahidi pekee unaojalishi ni kile ambacho vifaa vimekubaliana kwa kweli.