IKEv1 vs IKEv2 ముందుగా పంచుకున్న కీతో: ప్రామాణీకరణలో ఏమి భిన్నం

ఒకే ముందుగా పంచుకున్న కీతో కాన్ఫిగర్ చేసిన రెండు గేట్వేలు హ్యాండ్షేక్ను పూర్తి చేస్తాయి, మరియు ప్యాకెట్ రికార్డ్ తీగను దాటే ఏ రహస్యాన్ని చూపించదు. ప్రజలు గుర్తుంచుకునే భాగం అదే. ఆసక్తికరమైన భాగం ఏమిటంటే, రహస్యం తెలిసినట్లు నిరూపించడానికి ప్రతి వెర్షన్ నిజంగా ఏమి లెక్కిస్తుంది అనేది, ఎందుకంటే IKEv1 మరియు IKEv2 ఆ సాక్ష్యాన్ని వేర్వేరు ఇన్పుట్ల నుండి నిర్మిస్తాయి మరియు అలా చేస్తున్నప్పుడు వేర్వేరు సమాచారాన్ని బయటపెడతాయి. రెండు ట్రేస్లను పక్కపక్కన చదవండి, వ్యత్యాసం బాహ్యంగా ఉండటం ఆగిపోతుంది.

సాక్ష్యం ఏమి సాధించాలి

Diffie-Hellman రెండు పక్షాలకు ఒక పంచుకున్న విలువను ఇస్తుంది, దాని బహిరంగ సగం భాగాలను గమనించే ఎవరైనా లెక్కించగలరు. అది తనంతట తానే గుర్తింపు గురించి ఏమీ నిరూపించదు: కీ మార్పిడిని పూర్తి చేసే దాడికారుడికి మీ గేట్వేతో సమానమైన పంచుకున్న విలువ ఉంటుంది. ప్రామాణీకరణ దశ ఆ మార్పిడిని ఉద్దేశించిన పక్షాల వద్ద మాత్రమే ఉన్న రహస్యానికి, మరియు వారు అంగీకరించిన గుర్తింపులు మరియు పరామితులకు కట్టడానికి ఉంది.

ఈ బంధమే హాష్ కీ కంటే ఎక్కువ కవర్ చేయడానికి కారణం. అది రహస్యాన్ని మాత్రమే కవర్ చేస్తే, దాడికారుడు దాన్ని వేర్వేరు గుర్తింపులు లేదా ప్రతిపాదనలతో మరో మార్పిడిలో మళ్లీ ఆడగలిగేవాడు.

IKEv1 Main Mode: SKEYID పొంది, తర్వాత నిరూపించండి

Main Mode ఆరు సందేశాలను నడుపుతుంది. మొదటి జంట భద్రతా సంఘంపై చర్చిస్తుంది, రెండవది Diffie-Hellman బహిరంగ విలువలు మరియు nonceలను మార్పిడి చేస్తుంది, మూడవది ఇప్పుడే స్థాపించిన ఎన్క్రిప్షన్ కింద గుర్తింపులు మరియు ప్రామాణీకరణ హాష్లను మోసుకెళ్తుంది. RFC 2409 నిర్మాణాన్ని నిర్వచిస్తుంది: ముందుగా పంచుకున్న కీ ప్రామాణీకరణలో SKEYID రహస్యం నుండి మరియు రెండు nonceల నుండి పొందబడుతుంది, తర్వాతి కీ పదార్థం SKEYID, Diffie-Hellman పంచుకున్న విలువ, కుకీలు మరియు స్థిరాంకాల నుండి.

ఐదవ మరియు ఆరవ సందేశాలలోని హాష్ Diffie-Hellman విలువ, రెండు కుకీలు, ప్రతిపాదన మరియు పంపినవారి గుర్తింపుపై SKEYIDను కీగా ఉపయోగించి లెక్కించబడుతుంది. స్వీకర్త దాన్ని తన కాన్ఫిగర్ చేసిన రహస్యంతో మళ్లీ లెక్కిస్తాడు. అసమానత మార్పిడిని ముగిస్తుంది, మరియు రహస్యం స్వయంగా ఎప్పుడూ పేలోడ్ కాదు.

Aggressive Mode అదే పనిని మూడు సందేశాలలోకి నొక్కుతుంది, అంటే ఎన్క్రిప్ట్ చేసిన ఛానెల్ ఉనికిలోకి రాకముందే గుర్తింపులు మరియు ప్రామాణీకరణ హాష్ ప్రయాణిస్తాయి. ఊహించదగిన రహస్యానికి ఇది నిజమైన బహిర్గతం, మరియు రహస్యం పంపబడిందా అనే ప్రశ్నకు ఇది వేరు. IKEv1 RFC 9395 ద్వారా కాలం చెల్లినది, కాబట్టి పాత ట్రేస్ ఒక నిర్ధారణ వ్యాయామం, అమలు లక్ష్యం కాదు.

IKEv2: వేరే ఉత్పాదన మరియు వేరే AUTH పేలోడ్

IKEv2 IKEv1 కీ షెడ్యూల్ను తిరిగి ఉపయోగించదు. ప్రారంభ IKE కీలు nonceల నుండి మరియు Diffie-Hellman పంచుకున్న విలువ నుండి నిర్మించిన విత్తనం నుండి వస్తాయి, మరియు శిశు భద్రతా సంఘాలు దాని నుండి ఉత్పన్నమవుతాయి. ముందుగా పంచుకున్న కీ విత్తనాన్ని ఏమీ పోషించదు.

తర్వాత ప్రామాణీకరణ AUTH పేలోడ్గా కనిపిస్తుంది. పంచుకున్న కీ ప్రామాణీకరణకు RFC 7296 రహస్యం యొక్క ప్యాడెడ్ రూపాన్ని నిర్దేశిస్తుంది, అది రహస్యాన్ని స్థిరమైన స్ట్రింగ్తో హాష్ చేయడం ద్వారా పొందబడుతుంది Key Pad for IKEv2, తర్వాత సంతకం చేసిన మార్పిడి డేటా మరియు గుర్తింపు ఆ ప్యాడెడ్ కీతో హాష్ చేయబడతాయి. ధృవీకర్త అదే విలువను తిరిగి నిర్మించగలడు; పరిశీలకుడు రహస్యం లేకుండా నిర్మించలేడు.

ఏమి మారిందో గమనించండి. IKEv1లో ప్రామాణీకరణ హాష్ ఉనికిలోకి రాకముందే రహస్యం కీ షెడ్యూల్లో కలిపి ఉంటుంది; IKEv2లో కీ షెడ్యూల్ రహస్యం నుండి స్వతంత్రం మరియు సాక్ష్యం సంతకం చేసిన ఆక్టెట్లకు కట్టబడిన ప్రత్యేక పేలోడ్. అదే భావనాత్మక హామీ, వేరే యంత్రాంగం, అందుకే పరామితుల పేర్లు మరియు రికార్డులు ఒకదానికొకటి సరిపోలవు.

పరిశీలకుడు నిజంగా ఏమి నేర్చుకుంటాడు

Diffie-Hellman బహిరంగ విలువలు, ప్రతిపాదనలు, nonceలు మరియు కుకీలు రెండు వెర్షన్లలో కనిపిస్తాయి. గుర్తింపులు IKEv1 Aggressive Modeలో కనిపిస్తాయి మరియు మిగతా సందర్భాలలో రక్షించబడతాయి. రహస్యం ఎప్పుడూ కనిపించదు.

ఆ చివరి వాక్యానికి చెప్పవలసిన ఒక పరిమితి ఉంది. బలహీనమైన, మనిషి ఎంచుకున్న రహస్యాన్ని ఊహ ద్వారా దాడి చేయవచ్చు: దాడికారుడు అభ్యర్థి రహస్యానికి ప్రామాణీకరణ విలువ ఎంత ఉంటుందో లెక్కించి పోల్చుతాడు. IKEv1 Aggressive Mode దీన్ని అత్యంత చవకగా చేస్తుంది ఎందుకంటే సాక్ష్యం బహిరంగంగా ఉంటుంది, మరియు ప్రమాణాలు సాధారణంగా తక్కువ ఎంట్రోపీ రహస్యాల గురించి హెచ్చరిస్తాయి. రహస్యాన్ని ఎప్పుడూ పంపకపోవడం చెడు రహస్యాన్ని సురక్షితం చేయడంతో సమానం కాదు.

ఈ పోలికతో ఏమి చేయాలి

ప్రతి పక్షాల జంటకు ఒక ప్రత్యేక రహస్యాన్ని ఉపయోగించండి, దాన్ని యాదృచ్ఛిక మూలం నుండి సృష్టించండి, మరియు దాన్ని పంపిణీ చేసిన అదే ప్రొవిజనింగ్ మార్గం ద్వారా తిప్పండి. రహస్యం ప్రతి శాఖకు పంపే కాన్ఫిగరేషన్ టెంప్లేట్లో ఉంటే, ఒక చోట ఉల్లంఘన అన్నిచోట్లా ఉల్లంఘన.

నిర్వహణ ఖర్చు ఆమోదయోగ్యమైన చోట సర్టిఫికెట్ ఆధారిత ప్రామాణీకరణకు ప్రాధాన్యం ఇవ్వండి, ఎందుకంటే అది పంచుకున్న రహస్యం ఊహ సమస్యను తొలగిస్తుంది మరియు ప్రతి పక్షానికి ప్రత్యేక గుర్తింపును ఇస్తుంది. ముందుగా పంచుకున్న కీ ఉండే చోట దాన్ని పొడవుగా ఉంచండి, పరిధిని ఇరుకుగా చేయండి, మరియు IKE వెర్షన్ను పరస్పర సామర్థ్య వివరంగా కాకుండా భద్రతా నిర్ణయంగా పరిగణించండి.