IPsec, OpenVPN మరియు WireGuard లో ముందే పంచుకున్న కీ ఏమి చేస్తుంది

పంచుకున్న రహస్యం ప్రత్యర్థి వైపును ప్రామాణీకరించగలదు లేదా రక్షణ పొరను జోడించగలదు, దాని పాత్ర ప్రోటోకాల్‌తో మారుతుంది. దాన్ని వినియోగదారు పాస్‌వర్డ్‌తో కలిపేయవద్దు.

ముందే పంచుకున్న కీ అనే పదాలు IPsec, OpenVPN మరియు WireGuard పత్రాలలో కనిపిస్తాయి, కానీ మూడు వేర్వేరు వస్తువులను సూచిస్తాయి. ఒకటి ప్రామాణీకరణ రహస్యం, మరొకటి నియంత్రణ ఛానెల్‌ను రక్షిస్తుంది, మూడవది ఇప్పటికే గుర్తింపులు ఉన్న కరచాలనానికి పదార్థాన్ని జోడిస్తుంది. వీటిని పరస్పరం మార్చుకోగలిగినవిగా భావిస్తే, ఎవరూ ఊహించని దశలో విఫలమయ్యే కనెక్షన్ వస్తుంది. విలువను అందులో కాపీ చేసే ముందు ఆ ప్రోటోకాల్‌లో ఆ ఫీల్డ్ ఏమి చేస్తుందో చదవండి.

మూడు ప్రోటోకాల్‌లు, మూడు అర్థాలు

ప్రతి ప్రోటోకాల్ కీ పనిని తన స్పెసిఫికేషన్‌లో నిర్వచిస్తుంది, ఆ పనులు ఒకదానిపై మరొకటి పడవు. ప్రామాణీకరణ రహస్యం రెండు పక్షాలు ఒకే విలువను తెలుసుకున్నాయని నిరూపిస్తుంది. నియంత్రణ ఛానెల్ కీ తరువాత జరిగే చర్చలను రక్షిస్తుంది. కరచాలనం యొక్క అదనపు భాగం కీ షెడ్యూల్‌ను మారుస్తుంది, కానీ పక్షాలు ఎవరు అనేది మార్చదు.

ఈ పాత్రలు ఏవీ మనిషిని ప్రామాణీకరించవు, ఆ గందరగోళమే ఎక్కువ సమయాన్ని తీసుకుంటుంది. ముందే పంచుకున్న కీ మార్పిడికి ముందు పరికరాలపై లేదా గేట్‌వేలపై ఉంచబడుతుంది, కాబట్టి ప్రతి కలిగి ఉన్నవాడు ప్రత్యర్థికి ఒకేలా కనిపిస్తాడు. ఈ లక్షణం రెండు రౌటర్ల మధ్య లింక్‌కు ప్రయోజనం, పేరున్న ఉద్యోగులతో దూర ప్రవేశ సేవకు ప్రమాదం. ఖాతా ఆధారాలను మరియు క్రిప్టోగ్రాఫిక్ రహస్యాన్ని అమలును వివరించే పత్రంలో వేర్వేరు నిలువు వరుసలలో ఉంచండి.

IPsec మరియు OpenVPN ఆ పదాన్ని వేరుగా ఉపయోగిస్తాయి

IKEv2 ఒక పక్షాన్ని ధృవపత్రాలకు బదులు ముందే పంచుకున్న రహస్యంతో ప్రామాణీకరించగలదు, విలువ రెండు చివరలలో సరిపోలాలి. అదే రహస్యం సాధారణంగా పక్షాల సమూహానికి సెట్ చేయబడుతుంది, కాబట్టి ఏ కలిగి ఉన్నవాడైనా మిగిలిన వారిగా నటించగలడు, మరియు మార్పిడి తనకు ఎప్పుడూ లేని గుర్తింపు కీల నుండి ముందుకు రహస్యత్వాన్ని పొందదు.

OpenVPN యొక్క tls-auth మరియు tls-crypt ఎంపికలు నియంత్రణ ఛానెల్‌కు స్థిర కీని జోడిస్తాయి, HMAC సంతకాన్ని జోడిస్తాయి లేదా చర్చలను స్వయంగా గుప్తీకరిస్తాయి. ఆ కీ వినియోగదారు పాస్‌వర్డ్ కాదు, క్లయింట్ ధృవపత్రానికి ప్రత్యామ్నాయం కాదు. రెండింటిని వేరు చేయడం పునరుద్ధరణ సమయంలో ముఖ్యం, పాస్‌వర్డ్ మార్పు నియంత్రణ ఛానెల్ కీని తాకకుండా వదిలినప్పుడు.

WireGuard యొక్క PSK జోడిస్తుంది, గుర్తింపు ఇవ్వదు

WireGuard పక్షాలకు ఇప్పటికే Curve25519 పబ్లిక్ మరియు ప్రైవేట్ కీలు ఉన్నాయి, కరచాలనం ఆ గుర్తింపులను ప్రామాణీకరిస్తుంది. ఐచ్ఛిక ముందే పంచుకున్న కీ గొలుసు కీలో కలుపబడి, పబ్లిక్ కీ మార్పిడిపై సమరూప పదార్థాన్ని జోడిస్తుంది.

అది స్వంతంగా గుర్తింపును లేదా వినియోగదారు ఖాతాను ఇవ్వదు, కాబట్టి నిర్వాహకుడు ఇద్దరు కలిగి ఉన్నవారిని వారి PSK ద్వారా వేరు చేయలేడు. రెండు చివరలు ఒకే విలువను కలిగి ఉండాలి, లేకపోతే కరచాలనం ఉపయోగకరమైన లోప సందేశం లేకుండా విఫలమవుతుంది. అందుకే భ్రమణాన్ని ఒక ఫైల్‌ను సవరించడంగా కాకుండా రెండు వైపులకు ఒకేసారి ప్లాన్ చేయాలి.

పంపిణీ, భ్రమణం మరియు తొలగింపును తనిఖీ చేయండి

ఒక రహస్యాన్ని చాలా చోట్ల ఉపయోగించే ప్రతి రూపకల్పనలో పంపిణీ బలహీనమైన స్థానం. చాట్ విండోలో అతికించిన, నిల్వలో దాచిన లేదా వాతావరణాల మధ్య తిరిగి ఉపయోగించిన విలువ ఎవరూ లెక్కించలేని ప్రతులను సేకరిస్తుంది, ప్రతి ప్రతి హాని పరిధిని నిశ్శబ్దంగా విస్తరిస్తుంది.

Base64 వచనం గుప్తీకరణ కాదు. అదే ఫోల్డర్‌లో పబ్లిక్ ధృవపత్రం పక్కన ఉంచిన రహస్యం ఇప్పటికీ బహిరంగ వచనంలో రహస్యమే.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

షెడ్యూల్ ప్రకారం మరియు ఏదైనా అనుమానాస్పద బహిర్గతం తర్వాత భ్రమణం చేయండి, పాత విలువను రద్దు చేసే ముందు ప్రతి లక్ష్య పక్షాన్ని నవీకరించండి. తర్వాత లింక్‌ను రెండు చివరల నుండి పరీక్షించండి, ఎందుకంటే సరిపోలని కీ కరచాలనం వద్ద విఫలమై ఫైర్‌వాల్ సమస్యలాగానే కనిపిస్తుంది.

ఏ రహస్యం ఏ దశను రక్షిస్తుందో నమోదు చేయండి, పాస్‌వర్డ్ రీసెట్ ఎప్పుడూ క్రిప్టోగ్రాఫిక్ కీ పునరుద్ధరణతో కలిసిపోకుండా. ఆ ఒక్క లైన్ ప్రతిసారీ ఎవరైనా అమలును సమీక్షించినప్పుడు ఒక గంట ఆదా చేస్తుంది.

సంబంధిత వ్యాసాలు