Şifreleme veriyi gizler; kimlik doğrulama karşı tarafı adlandırır
Şifreleme içeriği korur, karşı tarafın kimlik doğrulaması sunucuyu adlandırır ve yetkilendirme bir kimliğin neyi açabileceğine karar verir. Bir VPN tasarımında üçünü de sorun.
Karşı taraf denetimi olmayan şifreleme, gizli bir konuşmayı yanlış tarafa teslim edebilir. Yetkilendirme olmadan kimlik doğrulama kimin katıldığını kanıtlar, ama neyi açabileceğini kanıtlamaz. Bunlar üç ayrı denetimdir ve yalnızca şifreyi soran bir VPN incelemesi bunlardan birine yanıt verir. Herhangi bir ayar sayfasını açmadan önce soruları sıraya koyun.
Buna güvenli demeden önce dört soru
İncelemeyi dört soru çerçeveler: gözlemciler neyi okuyabilir, hangi sunucu yanıt verir, kim katılıyor ve o kimliğin neyi kullanmasına izin var. Birincisine şifreleme, ikincisine karşı tarafın kimlik doğrulaması, üçüncüsüne kullanıcı veya cihaz kimlik doğrulaması, sonuncusuna yetkilendirme yanıt verir. Bir şifre adı veya başarılı oturum açma yalnızca kısmi bir yanıttır.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Bir satırı ele almayan bir tasarım, başka bir satırı güçlendirerek güvenli olmaz. Denetimler birbirini tamamlar, birbirinin yerine geçmez.
Karşı tarafın kimlik doğrulaması oturum açma değildir
İstemci, sunucunun amaçlanan sunucu olduğunu yapılandırılmış sertifikalar, açık anahtarlar veya desteklenen başka bir mekanizma ile doğrular. Güvenilir bir sertifika yetkilisi, bugüne dek verdiği her sertifikayı doğru sunucu yapmaz, bu yüzden kimlik denetimi yine önemlidir. Doğrulanmamış bir uç noktaya geçerli bir parola yazmak o uç noktayı güvenilir kılmaz. Parola yalnızca yanıt veren kimseye kimlik doğrulamaya istekli olduğunuzu kanıtlar.
WireGuard aynı fikri başka araçlarla gösterir: yapılandırılmış bir karşı taraf anahtarı, tarayıcı tarzı bir sertifika penceresi olmadan kimlik denetimi yapar. Birçok kullanıcının bildiği ortak bir sır, tek bir kişiden çok grubu tanımlar, bu yüzden benzersiz bir cihaz kimliği genellikle daha güçlü bir kimlik taşır.
Kimliği doğrulanmış şifreleme bir kriptografi terimidir
Kimliği doğrulanmış şifreleme, şifrenin gizliliği koruduğu ve yetkisiz değişiklikleri saptadığı anlamına gelir. Bir insanın oturum açtığı anlamına gelmez ve bir hesabın hangi dosyaları açabileceğine karar vermez. Bir şifre paketinin adı bir yapıyı tanımlar, iki taraf arasındaki ilişkiyi değil. Paket bütünlüğü, karşı tarafın kimliği ve hesap izinleri, ayrı kanıtları olan ilişkili gereksinimlerdir.
RFC 5280 güven profili, dağıtım X.509 kullandığında sertifika yolları ve kimlik denetimleri için referanstır. Onu okumak, kimliği doğrulanmış sözcüğünü güvenli ile eşanlamlı saymaktan daha yararlıdır.
Bir denetimi zayıflatmadan önce hatayı okuyun
Süresi geçmiş bir sertifika, yanlış sistem saati ve beklenmeyen bir sunucu kimliği her birinin kendi düzeltmesi vardır. Reddedilen bir hesabın başka bir düzeltmesi vardır. Sunucu meşru şekilde değiştiyse güncel güven malzemesini doğrulanmış işletmeciden alın. Tünelin bağlanması için kimlik denetimini kaldırmak, görünür bir hatayı görünmez bir hatayla değiştirir.
Tünelin bağlı olduğu kimlik bilgilerini koruyun. Bir profilde özel anahtar bulunabilir ve kaydedilmiş bir parola uzaktan erişim verebilir. Biri sızdığında hizmetin hesap veya anahtar yönetimi sürecini kullanın, çünkü istemci dizininde başka bir ülke seçmek eski kimliği iptal etmez.