Шифрування приховує дані; автентифікація називає співрозмовника
Шифрування захищає вміст, автентифікація співрозмовника називає сервер, а авторизація вирішує, що ідентичність може відкрити. Запитайте про всі три в проєкті VPN.
Шифрування без перевірки співрозмовника може доставити конфіденційну розмову не тій стороні. Автентифікація без авторизації доводить, хто приєднався, але не те, що йому дозволено відкрити. Це три окремі засоби контролю, і огляд VPN, який питає лише про шифр, відповідає на один із них. Упорядкуйте питання, перш ніж відкривати будь-яку сторінку налаштувань.
Чотири питання, перш ніж назвати це безпечним
Огляд окреслюють чотири питання: що можуть прочитати спостерігачі, який сервер відповідає, хто приєднується і що цій ідентичності дозволено використовувати. На перше відповідає шифрування, на друге автентифікація співрозмовника, на третє автентифікація користувача або пристрою, на останнє авторизація. Назва шифру або успішний вхід — лише часткова відповідь.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Проєкт, який залишає один рядок без відповіді, не стає безпечним від посилення іншого. Засоби контролю доповнюють один одного, а не замінюють.
Автентифікація співрозмовника — це не вхід
Клієнт перевіряє, що сервер саме той, який задумано, використовуючи налаштовані сертифікати, відкриті ключі або інший підтримуваний механізм. Довірений центр сертифікації не робить кожен коли-небудь виданий ним сертифікат правильним сервером, тому перевірка ідентичності досі важлива. Введення чинного пароля на неперевіреній кінцевій точці не робить її надійною. Пароль доводить лише готовність автентифікуватися перед тим, хто відповів.
WireGuard показує ту саму ідею іншими засобами: налаштований ключ співрозмовника виконує перевірку ідентичності без вікна сертифіката в стилі браузера. Спільний секрет, відомий багатьом користувачам, визначає радше групу, ніж окрему людину, тому унікальні облікові дані пристрою часто несуть сильнішу ідентичність.
Автентифіковане шифрування — криптографічний термін
Автентифіковане шифрування означає, що шифр захищає конфіденційність і виявляє несанкціоновані зміни. Воно не означає, що людина увійшла, і не вирішує, які файли може відкрити обліковий запис. Назва набору шифрів описує конструкцію, а не стосунки двох сторін. Цілісність пакетів, ідентичність співрозмовника й права облікового запису — пов'язані вимоги з окремими доказами.
Профіль довіри RFC 5280 — це довідник із шляхів сертифікатів і перевірок ідентичності, коли розгортання використовує X.509. Читати його корисніше, ніж вважати слово автентифікований синонімом безпечного.
Прочитайте збій, перш ніж послаблювати контроль
Прострочений сертифікат, неправильний системний годинник і неочікувана ідентичність сервера мають кожен своє виправлення. Відхилений обліковий запис має інше. Якщо сервер змінився законно, отримайте оновлений матеріал довіри в перевіреного оператора. Видалення перевірки ідентичності заради підключення тунелю міняє видимий збій на невидимий.
Захищайте облікові дані, від яких залежить тунель. Профіль може містити закритий ключ, а збережений пароль може дати віддалений доступ. Якщо один витік, скористайтеся процедурою керування обліковим записом або ключами сервісу, бо вибір іншої країни в каталозі клієнта не відкликає стару ідентичність.