Önceden paylaşılan IPsec anahtarı: yazdığınız dizenin arkasındaki baytlar

İki yönetici ekrandaki sırrı karşılaştırır, eşleştiği konusunda anlaşır ve tünel yine de kimlik doğrulamada başarısız olur. Karşılaştırdıkları dize, iki uçtan hiçbirinin anahtar türetimine verdiği değer değildir. Gördüğünüz karakterler ile protokolün karma işlemine soktuğu baytlar arasında bir alan türü, bir metin kodlaması, bir düzenleyici ve bir pano vardır ve dördünden herhangi biri görünümü değiştirmeden girdiyi değiştirebilir. Baytları karşılaştırın; uyuşmazlık genellikle saniyeler içinde ortaya çıkar.

Ağ geçidi dizeyle ne yapar

Önceden paylaşılan bir anahtar ağ üzerinden gönderilip karşılaştırılmaz. Her uç, yerel kopyasını IKE değişimi için anahtar türetimine verir ve ortaya çıkan kimlik doğrulama yükleri ya doğrulanır ya da doğrulanmaz. Bu tasarım, iki kopyanın görsel olarak benzer değil bayt düzeyinde özdeş olması gerektiği anlamına gelir ve ayrıca hatanın yanlış parola mesajı olarak değil kimlik doğrulama aşamasında bildirildiği anlamına gelir.

Dolayısıyla yararlı soru hiçbir zaman «bunlar aynı görünüyor mu» değil, «her uygulama hangi tam bayt dizisini karma işlemine sokuyor» sorusudur.

Fazladan baytlar nereden gelir

Sondaki yeni satır klasik suçludur ve göz önünde saklanır çünkü çoğu düzenleyici bir dosya kaydedilirken görünmez biçimde bir tane ekler. Sohbet penceresinden yapıştırılan baştaki veya sondaki boşluk da aynısını yapar; sözcük işlemcinin düz tırnağı akıllı tırnakla değiştirmesi de öyle. Bunların hiçbiri bir insanın yaptığı görsel karşılaştırmayı değiştirmez.

Glif değil bayt gösteren bir araçla karşılaştırın. printf '%s' "$PSK" | xxd | tail -2 değerin sonunu onaltılık olarak yazdırır; burada başıboş bir 0a veya 20 belirgindir. Bunu iki uçta da yapın ve iki dökümü yan yana karşılaştırın. Bunu üretilmiş test malzemesinde yapın; sonra kabuk geçmişinde bırakacağınız bir üretim sırrında değil.

Kodlanmış olmak şifrelenmiş olmak değildir

Yapılandırma dışa aktarımları sırrı çoğu zaman bir taban kodlamasında taşır; bazen her altmış veya yetmiş altı karakterde satır sonuyla, bazen dolguyla. Bir uç çözülmüş baytları bekliyorsa ve siz kodlanmış metni yapıştırıyorsanız farklı bir parola göndermediniz, yazdırılabilir karakterlerden yapılmış çok daha uzun bir parola gönderdiniz. Base64 hiçbir gizlilik sağlamaz; bu yüzden kodlanmış bir sır ikinci bir görüş için asla bir foruma yapıştırılmamalıdır.

Apple'ın IPSec sözlüğü, türün önemli olduğuna dair yararlı bir örnektir: SharedSecret'ü L2TP ve Cisco IPsec yüklerinde paylaşılan sır kimlik doğrulama yöntemi için veri olarak belgeler. Bu, belirli bir yükteki belirli bir özelliktir; sırf sır istediği için başka bir protokolde yeniden kullanabileceğiniz genel bir metin alanı değildir.

İddia edilen sınır tek bir bileşime aittir

Bir Apple istemcisinde otuz iki karakterlik tavanla ilgili eski raporlar, tek bir istemci sürümü, protokolü ve profil biçimi hakkında gerçek raporlardır. Her Apple platformu, her sağlayıcı ve her protokol için evrensel bir sınır değildir. Sürümü, yük türünü ve ağ geçidi gereksinimini birlikte kontrol edin, sonra bir başlıktan çıkarım yapmak yerine onaylanmış bir düzenekte test edin. Test edilen bileşimi değişiklik kaydına yazın; yoksa bir sonraki kişi aynı başlığı hak ettiğinden daha fazla güvenle alıntılayacaktır.

Bir sınır gerçekten geçerliyse yanıt, ona uyan desteklenen bir kimlik bilgisi tasarımıdır; güçlü bir sırrın kısaltılmış sürümü değildir. Bir üretim anahtarını tahmini bir sınırı karşılamak için kesmek gücünü kalıcı olarak azaltır ve belgeleri artık güvenliğiyle örtüşmeyen bir sistem üretir.

Gücü değil temsili düzeltin

Temsil doğrulandıktan sonra kimlik doğrulama başarısız olursa, kimlik doğrulama aşamasındaki geçerli politikayı okuyun: hangi yöntem müzakere ediliyor, hangi eş kimliği bekleniyor ve ağ geçidi düşündüğünüz bağlantıyla eşleşiyor mu. Giderek zayıflayan tahminler teşhis değildir; ekli bir destek talebiyle yavaş bir düşürmedir.

Gerekli kimlik bilgisi kuruluşun standardını karşılayamıyorsa tasarımı karşılayabilen bir tasarımla değiştirin. Yeterli entropiye sahip, bir kez üretilen, yönetilen bir alanda saklanan ve asla yayımlanmayan paylaşılan bir sır tamamen iyi bir yanıttır; daha kısa bir sürümü değildir.