Заяви про шифрування VPN: що має казати документація

Подивіться на велике число поруч із назвою алгоритму і запитайте, що воно насправді вимірює. Воно не каже, яке з'єднання захищене, який протокол забезпечує захист або які налаштування підтримує ваш клієнт. Сторінка, яка не може прив'язати свою заяву до одного з цього, — реклама, а не документація. Перевірки нижче — це порядок читання для будь-якого отриманого підсумку, і перша заява, яку ви не можете прив'язати до конкретного з'єднання, — місце, де треба зупинитися.

Визначте, яке з'єднання охоплює заява

Одна сторінка продукту може в одному абзаці обговорювати шифрування тунелю, HTTPS до порталу облікового запису та шифрування збережених даних. Це різні шляхи й різні системи зберігання, тому властивість одного нічого не каже про інші. Вирішіть, про яке з трьох ідеться в реченні, перш ніж порівнювати його з конкурентом. Те саме слово, шифрування, трапляється в усіх трьох контекстах і щоразу означає інше.

Для самого тунелю шукайте документований протокол і документований набір підтримуваних параметрів безпеки. Ці три позначки не взаємозамінні: набір за замовчуванням постачається без вашого вибору, необов'язковий режим діє лише тоді, коли його вибирає профіль, а узгоджений результат — це те, про що сторони домовилися під час підключення. Постачальник, який це розмиває, сказав вам менше, ніж здається.

Перевірте протокол і набір, який він допускає

Почніть із профілю клієнта, а не з порівняльної графіки. Профіль називає протокол, а протокол вирішує, які набори взагалі можливі, як показують два поширені випадки.

Список пропозицій IKEv2 — це меню, з якого обирає шлюз, тому отриманий набір може відрізнятися між двома шлюзами з однаковими налаштуваннями клієнта. У WireGuard такого меню немає, що робить його заяву простішою для перевірки й вужчою для опису. Жодна зі схем сама по собі не сильніша; суть у тому, що документація має сказати, яка мається на увазі.

Сама лише назва шифру також оминає автентифікацію, встановлення ключа, розкриття метаданих і зберігання. Сучасні конструкції об'єднують шифрування й цілісність в одному наборі, а старіші їх розділяють, тому згадка однієї назви алгоритму може приховати, яку властивість ви насправді отримуєте. Вимагайте політику узгодження письмово, коли сторінка її не зазначає.

Перевірте автентифікацію другої сторони та стан оновлень

Автентифікація другої сторони є частиною заяви, навіть коли маркетинговий текст її пропускає. Сильне шифрування до неперевіреного отримувача — не той результат, який хтось мав на увазі, а тунель, який не може сказати, хто відповів, захищає менше, ніж здається. Подивіться, як клієнт перевіряє сервер: ланцюжок сертифікатів, закріплений ключ або заздалегідь розділений секрет. Це різні моделі довіри з різними режимами відмови.

Далі перевірте реалізацію та її стан оновлення, бо документований шифр у неоновленому клієнті описує версію, яку ви, можливо, не запускаєте. Опубліковані обмеження від авторів протоколу варто прочитати з тієї ж причини. Клієнт, який не оновлювався рік, робить іншу заяву, ніж сторінка перед вами.

Перевірте, де закінчується тунель

Тунель від клієнта до сервера закінчується на сервері VPN. Шифрування застосунку, наприклад HTTPS до сервісу за ним, може захищати трафік далі на маршруті, а після сервера воно може залишитися єдиним захистом. Прочитайте пояснення оператора про кінцеві точки й вирішіть, до якого з цих шарів належить заява.

Політика журналювання й відстеження облікового запису стоять повністю поза шифруванням. Оператор може передавати зашифрований вміст, спостерігаючи за часом, адресами й обсягом, тому заява про конфіденційність корисного навантаження нічого не відповідає про те, що записується. Розглядайте зберігання як окреме питання з власними доказами.

Запишіть, чого документація не каже

Коли властивість відсутня, запишіть, що її немає, замість того щоб виводити її з назви чи репутації програмного забезпечення. Аудит охоплює лише ті властивості й компоненти, які він справді дослідив, а прогалина в документації — сама по собі знахідка. Запишіть прогалину, поки ще пам'ятаєте, яка сторінка її створила.

На машині, яку ви контролюєте, прочитайте набір з активної сесії, використовуючи сторінку стану клієнта або список асоціацій безпеки на шлюзі, і запишіть це значення поруч із версією клієнта. Такий запис робить заяву постачальника порівнюваною згодом, коли оновлення змінить узгоджений результат. Якщо клієнт і документація розходяться, довіряйте узгодженому результату й повідомте про розбіжність, а не згладжуйте її мовчки.