VPN ya TLS dhidi ya IPsec: sehemu tano zinazostahili kukaguliwa

Kupanga VPN za TLS dhidi ya VPN za IPsec kwa familia ya itifaki hujibu swali ambalo hakuna aliyeliuliza, na kwa kawaida hutaja muundo ambao familia zote mbili ziliacha miaka kadhaa iliyopita. Kile ambacho mkaguzi anaweza kweli kutathmini ni ulinzi uliojadiliwa, utambulisho wa mwenzake, mtindo wa mteja na huduma iliyo wazi. Vitu hivyo vinne vinaonekana katika usambazaji, na hakuna hata kimoja kinachotokana na lebo ya bidhaa. Omba sehemu tano na mazungumzo yanakuwa ya konkreti.

Sehemu tano, na lebo si moja kati yao

Sehemu ya kwanza ni toleo la programu linalotumika, kwa sababu maelezo ya itifaki bila toleo ni kijitabu. Ya pili ni toleo la itifaki lililojadiliwa, linaloamua ni miundo ipi inapatikana kabisa. Ya tatu ni seti ya ulinzi, ya nne ni njia ya uthibitishaji kwa mwenzake na mtumiaji, na ya tano ni wigo wa ufikiaji ambao bidhaa hutoa baada ya kukubaliwa.

Lebo ya VPN SSL inashughulikia angalau bidhaa tatu tofauti: mteja kamili wa mtandao, proksi ya programu na lango la zamani linalotegemea kivinjari. Zinaonyesha huduma tofauti na kushindwa kwa namna tofauti, kwa hiyo lebo haiwezi kuchukua nafasi ya sehemu ya wigo.

Kile ambacho usimbaji fiche uliothibitishwa hubadilisha kweli

TLS 1.3 huhitaji usimbaji fiche uliothibitishwa, ambao huondoa muundo wa zamani wa MAC-then-encrypt kutoka kwenye itifaki badala ya kuuacha kuwa hiari. IPsec ESP imekuwa na seti za usimbaji fiche uliothibitishwa kwa muda mrefu sawa, huku AES-GCM ikifafanuliwa katika RFC yake yenyewe. Katika familia zote mbili dhamana inatoka kwenye seti iliyojadiliwa na si jina la familia, ndiyo sababu orodha ya sehemu huanza na toleo. Mkaguzi asiyeweza kutaja seti hana cha kutathmini.

Ndiyo sababu ulinganisho wa kihistoria unapotosha. Usambazaji uliobanwa kwenye toleo la zamani la TLS na seti ya CBC na mwingine unaoendesha TLS 1.3 na seti ya AEAD si msimamo sawa wa usalama, ingawa wote ni VPN za TLS. Mgawanyiko huo huo upo upande wa IPsec kati ya seti ya kisasa ya ESP na mchanganyiko wa zamani.

Soma thamani zilizojadiliwa badala ya usanidi uliokusudia. Amri zilizo hapa chini zinaonyesha kile ambacho ncha hai ya mwisho na handaki hai zilikubaliana kweli.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Kama ncha ya mwisho haitaki kujadili TLS 1.3, hiyo ni taarifa na si upendeleo. Kama handaki linaorodhesha seti ambayo hukuitarajia, usanidi unaojitokeza ni ule uliochaguliwa na wenzake, si ule ulio kwenye kiolezo.

Utambulisho wa mwenzake ni swali tofauti

Usimbaji fiche bila mwenzake aliyethibitishwa hulinda trafiki dhidi ya watazamaji na kuikabidhi kwa yeyote aliyejibu muunganisho. Uthibitishaji wa mwenzake huuliza ni utambulisho upi unaotarajiwa, nyenzo ipi ya uaminifu inauthibitisha, na mteja anafanyaje jibu linapokosa kufanana. Mnyororo wa vyeti, ufunguo uliobandikwa na siri iliyoshirikiwa mapema ni majibu matatu tofauti yenye gharama tatu tofauti za uendeshaji.

Kisha uliza maswali yale yale kuhusu mtumiaji au kifaa. Lango linalothibitisha mashine na kumruhusu mtumiaji yeyote, au kinyume chake, lina msimamo maalum ambao unapaswa kuandikwa badala ya kudhaniwa. Ruhusa za rasilimali zinazotumika baada ya kukubaliwa ni sehemu ya uwanja huo huo, kwa sababu uthibitishaji si uidhinishaji.

Kuhifadhi ukaguzi wa jina la mwenyeji na cheti ni muhimu zaidi kuliko uzoefu wa dirisha la kuingia. Mteja aliyesanidiwa kupuuza uthibitishaji ameondoa hatua pekee inayotofautisha lango lako na mwigo wa kushawishi.

Mpaka ambao bidhaa inaonyesha

Lango lisilo na mteja hupitisha shughuli teule za programu kupitia lango, kwa hiyo mtumiaji hufikia kiolesura badala ya mtandao. Mteja wa handaki kamili hubeba kile kinachochaguliwa na njia zake na sera yake ya kuchuja, ambayo ni uso mkubwa zaidi. Kulinganisha mbili kwa nguvu ya itifaki kunakosa tofauti katika kile ambacho mshambuliaji anaweza kufikia kupitia hizo. Moja inaonyesha kiolesura cha programu, nyingine inaonyesha mtandao ulioelekezwa, na zote mbili zinahitaji ukaguzi tofauti.

Uliza ni huduma ipi iliyo wazi, ni shughuli zipi zimeidhinishwa na lango lenyewe linasikiliza nini. Kiolesura cha usimamizi kinachofikika kutoka anwani hiyo hiyo na lango la mtumiaji ni taarifa ya usambazaji, na hakuna uchaguzi wa itifaki unaofidia hilo.

Wigo kwa kila programu hupunguza uso zaidi, na pia hubadilisha tabia ya hitilafu handaki linapoanguka. Muundo unaodhani ufikiaji wa handaki kamili utavunjika kwa namna ambazo muundo wa kwa-programu hauzijui, na mzigo wa msaada unafuata.

Amua matokeo ya hitilafu na mzunguko wa maisha

Kinachotokea wakati uthibitishaji au ulinzi haupatikani ni uamuzi wa sera unaostahili kuwa kwenye ukaguzi. Matokeo yaliyozuiwa na kurudi nyuma moja kwa moja bila kutangazwa yana matokeo tofauti, na tofauti haionekani katika orodha ya vipengele. Eleza tabia inayokusudiwa kando ya rasilimali inayoiinda.

Jumuisha mzunguko wa maisha wa viraka na msaada wa lango, vipengele vyake vya nje vilivyowashwa na njia ya kusasisha ya wateja. Uchaguzi sahihi wa itifaki haufanyi huduma iliyosambazwa vibaya kuwa salama, na matukio mengi yanaishi katika pengo hilo na si kwenye seti.

Andika sehemu tano, sera ya hitilafu na mmiliki wa mzunguko wa maisha kwenye ukurasa mmoja. Ukurasa huo ni ukaguzi; ulinganisho wa familia za itifaki ni maoni.