Ufunguo ulioshirikiwa mapema hufanya nini katika IPsec, OpenVPN na WireGuard

Maneno ufunguo ulioshirikiwa mapema yanapatikana katika nyaraka za IPsec, OpenVPN na WireGuard, lakini yanarejelea vitu vitatu tofauti. Kimoja ni siri ya uthibitishaji, kingine hulinda njia ya udhibiti, na cha tatu huongeza nyenzo kwenye makubaliano ya mkono ambayo tayari yana utambulisho. Kuzichukulia kama zinazoweza kubadilishana huzalisha muunganisho unaoshindikana katika hatua ambayo hakuna aliyetarajia. Soma kile sehemu hiyo inafanya katika itifaki hiyo kabla ya kunakili thamani ndani yake.

Itifaki tatu, maana tatu

Kila itifaki hufafanua jukumu la ufunguo katika vipimo vyake, na majukumu hayo hayagongani. Siri ya uthibitishaji huthibitisha kwamba pande mbili zinajua thamani moja. Ufunguo wa njia ya udhibiti hulinda majadiliano yanayofuata. Nyongeza ya makubaliano ya mkono hubadilisha ratiba ya funguo bila kubadilisha pande ni nani.

Hakuna jukumu kati ya haya linalothibitisha mtu, na machafuko hayo ndiyo yanayotumia muda mwingi. Ufunguo ulioshirikiwa mapema huwekwa kwenye vifaa au lango kabla ya ubadilishanaji, kwa hiyo kila mwenyeo huonekana sawa kwa upande mwingine. Sifa hiyo ni faida kwa kiungo kati ya vipanga njia viwili na ni hatari kwa huduma ya ufikiaji wa mbali yenye wafanyakazi waliotajwa. Weka vyeti vya akaunti na siri ya kriptografia katika safu tofauti za hati inayoeleza usambazaji.

IPsec na OpenVPN hutumia neno hilo kwa namna tofauti

IKEv2 inaweza kuthibitisha upande kwa siri iliyoshirikiwa mapema badala ya vyeti, na thamani lazima ifanane pande zote mbili. Kwa kuwa siri hiyo hiyo kawaida husanidiwa kwa kundi la pande, mwenyeo yeyote anaweza kujifanya wengine, na ubadilishanaji haupati usiri wa mbele kutoka kwa funguo za utambulisho ambao haukuwa nazo kamwe.

Chaguo tls-auth na tls-crypt za OpenVPN huambatanisha ufunguo tuli kwenye njia ya udhibiti, kwa kuongeza sahihi ya HMAC au kusimba majadiliano yenyewe. Ufunguo huo si nenosiri la mtumiaji na hauchukui nafasi ya cheti cha mteja. Kutofautisha haya mawili ni muhimu wakati wa kuhuisha, ambapo kubadilisha nenosiri hakuugusi ufunguo wa njia ya udhibiti.

PSK ya WireGuard huongeza, haitambui

Pande za WireGuard tayari zina funguo za umma na za faragha za Curve25519, na makubaliano ya mkono huthibitisha utambulisho huo. Ufunguo ulioshirikiwa mapema wa hiari huchanganywa kwenye ufunguo wa mnyororo, ukichangia nyenzo linganifu juu ya ubadilishanaji wa funguo za umma.

Hautoitoi utambulisho wake wenyewe wala akaunti ya mtumiaji, kwa hiyo mwendeshaji hawezi kutofautisha wenyeo wawili kwa PSK yao. Pande zote mbili lazima zibebe thamani moja, vinginevyo makubaliano ya mkono yanashindikana bila ujumbe wa hitilafu unaosaidia. Ndiyo sababu mzunguko lazima upangwe kwa pande zote mbili kwa wakati mmoja, si kama kuhariri faili moja.

Kagua usambazaji, mzunguko na uondoaji

Usambazaji ni sehemu dhaifu ya kila muundo unaotumia siri moja katika sehemu nyingi. Thamani iliyobandikwa kwenye dirisha la mazungumzo, iliyohifadhiwa kwenye hazina au iliyotumika tena kati ya mazingira hukusanya nakala ambazo hakuna anayeweza kuzihesabu, na kila nakala huongeza kwa utulivu wigo wa uharibifu.

Maandishi ya Base64 si usimbaji fiche. Siri iliyowekwa kando ya cheti cha umma katika folda moja bado ni siri katika hali wazi.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Zungusha kwa ratiba na baada ya kila ufichuzi unaoshukiwa, ukiboresha kila upande uliokusudiwa kabla ya kubatilisha thamani ya zamani. Kisha jaribu kiungo kutoka pande zote mbili, kwa sababu ufunguo usiofanana unashindikana kwenye makubaliano ya mkono na unaonekana kama tatizo la ukuta wa moto.

Andika ni siri ipi inalinda hatua ipi, ili kuweka upya nenosiri kusiwe kamwe kuchukuliwa kama kuhuisha ufunguo wa kriptografia. Mstari huo mmoja huokoa saa moja kila mtu anapokagua usambazaji.