VPN-இல் சமச்சீர் vs. பொது-விசை மறையாக்கம்: ஒவ்வொன்றும் என்ன செய்கிறது

மக்கள் VPN-ஐ „பொது-விசை மறையாக்கம் பயன்படுத்துவது“ என்று விவரித்து, பின்னர் ஒவ்வொரு பொதிகையும் சேவையகத்தின் சான்றிதழால் பூட்டப்பட்டுள்ளது என்று கற்பனை செய்கிறார்கள். அந்தப் படம் கட்டமைப்பு கோப்பு அல்லது பொதிகைப் பதிவைப் படிக்கும்போது முக்கியமான வகையில் தவறானது. VPN-இன் பொது-விசை பாதி சகா யார் என்பதை நிரூபிப்பதிலும் ரகசியப் பொருளில் உடன்படுவதிலும் உள்ளது; சமச்சீர் பாதி போக்குவரத்தை உண்மையில் பாதுகாக்கும் பகுதி, பொதிகைக்குப் பொதிகை, அமர்வின் முழு ஆயுளிலும்.

இரு பகுதிகளுக்கும் வேறுபட்ட ஆயுள், தோல்வி முறைகள் மற்றும் பாதுகாப்பாக வெளியிடக்கூடியவை வேறுபடுகின்றன. அவற்றைப் பிரித்தவுடன், „RSA 2048 AES-128-ஐ விட பலவீனமானதா“ போன்ற கேள்விகள் குழப்புவதை நிறுத்தும், ஏனெனில் அவை ஒருபோதும் ஒப்பிடக்கூடியவை அல்ல.

ஒன்றாகக் கலக்கப்படும் மூன்று செயல்பாடுகள்

பொது-விசை மறையியல் குறைந்தது மூன்று வெவ்வேறு செயல்பாடுகளின் குடை. கையொப்பம் தனிப்பட்ட விசையின் உரிமையாளர் ஒரு குறிப்பிட்ட செய்தியை அங்கீகரித்ததை நிரூபிக்கிறது. விசை உடன்பாடு இரு சகாக்களுக்கு பொதுவில் பரிமாறப்படும் மதிப்புகளிலிருந்து பகிரப்பட்ட ரகசியத்தைப் பெற அனுமதிக்கிறது. பொது-விசை மறையாக்கம் தரவை ஒருவரின் பொது விசையின் கீழ் மறைக்கிறது, எனவே தனிப்பட்ட விசை மட்டுமே அதைத் திறக்க முடியும்.

VPN கைக்குலுக்கல்கள் பெரும்பாலும் முதல் இரண்டைப் பயன்படுத்துகின்றன. சான்றிதழ் மறையாக்க விசை அல்ல; அது ஒரு பெயரை பொது விசையுடன் இணைக்கும் கையொப்பமிட்ட அறிக்கை, இப்போது பெற்ற விசையை நம்பலாமா என்று மறுபக்கத்திற்கு முடிவெடுக்க உதவுகிறது. எடுத்துக்காட்டாக, TLS 1.3 விசை நிறுவல் (EC)DHE விசை உடன்பாடு மற்றும் சான்றிதழ் கையொப்பங்களை அடிப்படையாகக் கொண்டது, சேவையகத்தின் பொது விசையால் அமர்வை மறையாக்குவதில் அல்ல.

கைக்குலுக்கல் உண்மையில் எதை உருவாக்குகிறது

நவீன கைக்குலுக்கலில் ஒவ்வொரு பக்கமும் ஒரு தற்காலிக விசை இணையை உருவாக்கி, பொது பகுதிகளைப் பரிமாறி, ஒருபோதும் கம்பி வழியே செல்லாத பகிரப்பட்ட ரகசியத்தைக் கணக்கிடுகிறது. அந்த ரகசியம் பின்னர் விசை-பெறும் சார்பு வழியாகச் சென்று ஒவ்வொரு திசைக்கும் தனித்தனி விசைகளையும், பதிவு அடுக்குக்குத் தேவையான nonce மற்றும் IV பொருளையும் உருவாக்குகிறது. WireGuard இதை Noise அடிப்படையிலான கட்டமைப்பால் செய்கிறது; TLS 1.3 இதை கைக்குலுக்கல் நகலின் மீது HKDF மூலம் செய்கிறது.

நீண்டகால அடையாளச் சான்று — சான்றிதழும் தனிப்பட்ட விசையும், அல்லது நிலையான WireGuard விசை — அந்தப் பரிமாற்றத்தை அங்கீகரிக்கிறது. அது நகலின் மீது கையொப்பமிடுகிறது அல்லது அதில் கலக்கிறது, எனவே அயலவர் சகாவின் இடத்தில் கைக்குலுக்கலை முடிக்க முடியாது. அதன்பிறகு அடையாளச் சான்று ஒவ்வொரு பொதிகைக்கும் வேலை செய்யாது. செய்திருந்தால் ஒவ்வொரு பொதிகைக்கும் தனிப்பட்ட-விசை செயல்பாடு தேவைப்பட்டிருக்கும், மேலும் பரபரப்பான சுரங்கப்பாதை அடுக்கின் மெதுவான செயல்பாட்டால் வரம்பிடப்பட்டிருக்கும்.

இதிலிருந்து இரு பக்க விளைவுகள் வருகின்றன. முதலில், அமர்வு விசைகள் ஒவ்வொரு முறையும் புதியவை, எனவே பின்னர் நீண்டகால விசையைத் திருடும் தாக்குபவர் முன்பு பதிவு செய்யப்பட்ட அமர்வுகளை மறைகுறியாக்க முடியாது, உடன்பாடு தற்காலிகமாக இருந்தால். இரண்டாவதாக, கசிந்த அமர்வு விசை ஒரு அமர்வைப் பாதிக்கிறது, அடையாளத்தை அல்ல.

பெரிய தரவு அளவுகள் சமச்சீர் விசைகளை ஏன் பயன்படுத்துகின்றன

சமச்சீர் மறைக்குறியீடுகள் அளவை நன்றாகக் கையாளுகின்றன: AES-GCM அல்லது ChaCha20-Poly1305 ஒவ்வொரு பொதிகையையும் ஏற்கனவே நினைவகத்தில் உள்ள விசையால் செயலாக்கி, தலைப்பை அங்கீகரித்து, கணக்கியை உயர்த்துகிறது. பெறும் பக்கம் nonce மற்றும் அங்கீகாரக் குறியைச் சரிபார்த்து தோல்வியடைந்த அல்லது மீண்டும் வந்த அனைத்தையும் தூக்கி எறிகிறது. இது சாதாரண வன்பொருளில் வரி வேகத்தில் இயக்க போதுமான மலிவு, அதே கட்டமைப்பு ஒரே பாதையில் ரகசியத்தன்மையையும் ஒருமைப்பாட்டையும் தருகிறது.

கட்டமைப்பே பெரும்பாலான செயலாக்கப் பிழைகள் வாழும் இடம். GCM-இல் nonce மீண்டும் வந்தால் ரகசியத்தன்மையும் நம்பகத்தன்மையும் ஒரே நேரத்தில் உடைபடும், எனவே நெறிமுறைகள் திசைக்கு விசைகளைப் பெற்று வெளிப்படையான கணக்கியையோ யுகத்தையோ வைத்திருக்கின்றன. பொதிகைப் பதிவைப் படிக்கும்போது மறையாக்கப்பட்ட உரையின் நீளம் தெளிவான உரையுடன் நிலையான கூடுதலைச் சேர்த்ததற்கு ஒத்திருந்தால், வேலை செய்வது சமச்சீர் அடுக்கு, ஒவ்வொரு பொதிகைக்கும் பொது-விசை செயல்பாடு அல்ல.

ஆயுள், விசை புதுப்பித்தல் மற்றும் முன்னோக்கிய ரகசியம்

அமர்வு விசைகள் முடிவடைய வேண்டும். TLS 1.3 KeyUpdate செய்திக்கு போக்குவரத்து விசைகளைச் சுழற்ற அனுமதிக்கிறது; WireGuard அமைக்கப்பட்ட நேரம் அல்லது செய்தி எண்ணிக்கைக்குப் பின் அமர்வைப் புதுப்பித்து, வழியில் உள்ள பொதிகைகளுக்கு பழையதைச் சிறிது நேரம் வைத்திருக்கிறது. OpenVPN தன் தரவு சேனல் விசைகளை அட்டவணைப்படி மீண்டும் பேச்சுவார்த்தை செய்கிறது, reneg-sec இடைவெளியைக் கட்டுப்படுத்துகிறது.

அந்தச் சுழற்சிகளில் எதுவும் சான்றிதழைப் புதுப்பிப்பதற்குச் சமம் அல்ல. சான்றிதழ் ஒரு வருடம் செல்லுபடியாக இருக்கலாம், அதே நேரம் அமர்வு விசைகள் சில நிமிடங்களுக்கு ஒருமுறை மாறும், மேலும் இயங்கும் சுரங்கப்பாதையின் விசைகளைத் தொடாமல் சான்றிதழை மாற்றலாம். காலாவதியைத் திட்டமிடும்போது, எந்தப் பொருளைச் சுழற்றுகிறீர்கள் என்று கேளுங்கள்; பதில் வாடிக்கையாளர்கள் மீண்டும் இணைவார்களா அல்லது விசைகளை மட்டும் புதுப்பிப்பார்களா என்பதைத் தீர்மானிக்கிறது.

பொருட்களைக் கலக்காமல் கட்டமைப்பையும் கண்டறிதலையும் படித்தல்

நடைமுறையில் நீங்கள் முழு நெறிமுறையையும் அது ஆதரிக்கும் அடிப்படைகளையும் தேர்வு செய்கிறீர்கள், உங்களுடையதை இணைக்கவில்லை. OpenVPN-இன் --tls-crypt விசை கட்டுப்பாட்டு சேனலைப் பாதுகாக்கிறது; தரவு சேனல் பேச்சுவார்த்தை செய்யப்பட்ட சமச்சீர் மறைக்குறியீடுகளைப் பயன்படுத்துகிறது. WireGuard-இன் PrivateKey, PublicKey உள்ளீடுகள் அடையாளப் பொருள், அதன் போக்குவரத்து விசைகள் உள்ளிருந்து பெறப்படுகின்றன. அந்தப் புலங்களை ஒரே வகை ரகசியமாகப் படிப்பது தனிப்பட்ட விசை இருக்க வேண்டிய இடத்தில் பொது விசையை ஒட்டுவது போன்ற பிழைகளுக்கு இட்டுச் செல்கிறது.

பொதுப் பொருளைத் தனிப்பட்டதிலிருந்து தனியாக வையுங்கள். சான்றிதழ், WireGuard பொது விசை மற்றும் விரல் ரேகை டிக்கெட்டில் பகிர்வது பாதுகாப்பானது. தனிப்பட்ட விசை, முன்பே பகிர்ந்த விசை மற்றும் ஏற்றுமதி செய்யப்பட்ட அமர்வு விசை அவ்வாறு இல்லை. வலிமையை ஒப்பிடும்போது ஒரே வகைக்குள் ஒப்பிடுங்கள்: நீள்வட்ட வளைவு அடையாளங்காட்டி, RSA மட்டு அளவு மற்றும் AES விசை அளவு வேறுபட்ட ஊகங்களின் கீழ் வேறுபட்டவற்றை அளக்கின்றன. TLS 1.3 விவரக்குறிப்பு உங்கள் சுரங்கப்பாதை TLS அல்லாதபோதும் இரு அடுக்குகள் எவ்வாறு பொருந்துகின்றன என்பதற்கான பயனுள்ள குறிப்பு.