VPN parolingiz uni tekshiruvchi qanchalik maxfiy bo‘lsa, shunchalik maxfiy

Har qanday VPN kirish bo‘yicha to‘rt savolni ko‘rib chiqing: parolni uzatish paytida nima himoya qiladi, uni qaysi komponent qabul qiladi, u komponent u bilan nima qiladi va keyin nima saqlanadi. Har bir javob alohida nazorat, va biriga berilgan kuchli javob boshqalari haqida hech narsa demaydi. Xato — tunnel shifrlashini to‘rttasini ham qamrab oladi deb qabul qilish. U faqat birinchisini qamrab oladi.

Sessiya shifrlanganmi yoki yo‘qmi emas, sessiyani kim tugatishini so‘rang.

Aynan kim uchun shifrlangan?

TLS parolni mijoz va ulanishni tugatuvchi o‘rtasida himoya qiladi. Agar bu oxirgi nuqta VPN shlyuzi bo‘lsa, shlyuzning autentifikatsiya kodi parolni ochiq matnda ko‘radi, uni tekshiradi va o‘zini yoki undan olingan qiymatni oldinga uzatadi. Bu mo‘ljallangan dizayn, sizib chiqish emas. Yo‘ldagi tarmoq kuzatuvchisi foydali hech narsa o‘rganmaydi, tekshiruvni bajaruvchi komponent esa o‘ziga kerakli hamma narsani o‘rganadi.

OpenVPN hamjamiyati buni aniq hujjatlashtiradi: auth-user-pass-verify taqdim etilgan hisob ma’lumotlarini tekshirish skripti yoki plaginiga topshiradi. Bu komponentlar o‘rtasida qasddan topshirish bo‘lib, u nomlangan tomon sifatida ishonch modeliga kiradi.

Tekshiruvchi parolni ko‘radi

Komponent parolni tekshirish uchun olgandan so‘ng, sir ichida qolishi yoki yo‘qligini uning kirish nazorati, jurnal yuritishi va kod sifati hal qiladi. Hisob ma’lumotlarini jurnalga yozuvchi skript yoki ularni keshda saqlovchi plagin protokol yaratganidan ancha katta fosh bo‘lishni yaratadi. Kirish tunnelga emas, arxitektura va rollarga bog‘liq, shuning uchun tekshiruvchini boshqaruvchi xizmat egasi baholashga kiradi.

Turli usullar turli materialni fosh qiladi. Sertifikat bilan autentifikatsiya shaxsiy kalitni yubormasdan isbotlaydi, federatsiya oqimi esa parolni identifikatsiya provayderida saqlab, VPNga cheklangan da’vo berishi mumkin. Bunday dizaynlar doirani toraytiradi; ularning hech biri barcha ishonchli tomonlarni yo‘q qilmaydi.

Saqlangan xeshlar boshqa bosqichni himoya qiladi

NIST yo‘riqnomasi himoyalangan uzatishni tekshiruvchining bardoshli saqlanishidan ajratadi. Tuz va qimmat xeshlash sxemasi saqlangan tekshiruvchi tahdidini hal qiladi, ya’ni ma’lumotlar bazasi sizib chiqsa keyin sodir bo‘ladigan narsa. Ular solishtirish uchun kirishni olishi shart bo‘lgan ish vaqti komponentiga hech narsa qilmaydi. Yo‘riqnomani ish vaqti maxfiyligini va’da qilayotgandek o‘qish toifa xatosidir.

Shu sababli yaxshi xeshlangan parol ombori va ochiq tekshirish skripti bir mahsulotda qarama-qarshiliksiz birga mavjud bo‘lishi mumkin.

Doirani toraytiruvchi usulni tanlash

Agar talab shlyuz hech qachon qayta ishlatiladigan parolni olmasligi bo‘lsa, buni haqiqatan kafolatlaydigan usulni tanlang; ma’lumot shifrini almashtirish bu xususiyatni yaratmaydi. VPN serverining sertifikatini tekshirish qaysi hamkor bilan bog‘langaningizni aytadi; u hamkor keyin hisob ma’lumotlari bilan qanday ishlashini hech narsa aytmaydi. Server tekshiruvini saqlang, har bir xizmat uchun alohida hisob ma’lumotlaridan foydalaning va tashkilot qo‘llab-quvvatlaydigan identifikatsiya oqimiga amal qiling.

Parolni qabul qiluvchi tomonni, uni tekshiruvchi tomonni va qaysi shaklda saqlanishini yozib qo‘ying. O‘sha uch javob ulanish profilining yonida bo‘ladi, chunki ular har qanday aniq tunneldan uzoqroq yashaydi.

Foydali savol parolning shifrlanganmi-yo‘qmi ekani emas, balki kimdan yashirilgani, qaysi komponent uni qabul qilishi va keyin qanday shakl qolishidir.