IPsec, OpenVPN va WireGuard ichida oldindan kelishilgan kalit nima qiladi

Oldindan kelishilgan kalit so'zlari IPsec, OpenVPN va WireGuard hujjatlarida uchraydi, lekin uch xil obyektni bildiradi. Biri autentifikatsiya siri, biri boshqaruv kanalini himoya qiladi, uchinchisi esa allaqachon identifikatsiyalarga ega qo'l siqishga material qo'shadi. Ularni bir-birining o'rnini bosuvchi deb hisoblasak, hech kim kutmaydigan bosqichda muvaffaqiyatsiz bo'ladigan ulanish olinadi. Qiymatni u yerga ko'chirishdan oldin maydonning o'sha protokolda nima qilishini o'qing.

Uch protokol, uch ma'no

Har bir protokol kalitning vazifasini o'z spetsifikatsiyasida belgilaydi va bu vazifalar bir-birini qoplamaydi. Autentifikatsiya siri ikki tomon bir xil qiymatni bilishini isbotlaydi. Boshqaruv kanali kaliti keyingi muzokaralarni himoya qiladi. Qo'l siqishga qo'shilgan qism tomonlarning kimligini o'zgartirmasdan kalit jadvalini o'zgartiradi.

Bu rollarning hech biri insonni autentifikatsiya qilmaydi va eng ko'p vaqtni oladigan chalkashlik aynan shu. Oldindan kelishilgan kalit almashinuvdan oldin qurilmalar yoki shlyuzlarga joylashtiriladi, shuning uchun har bir egasi qarshi tomon uchun bir xil ko'rinadi. Bu xususiyat ikki marshrutizator orasidagi ulanish uchun afzallik, ismlari ma'lum xodimlari bor masofaviy kirish xizmati uchun esa xavf. Hisob ma'lumotlarini va kriptografik sirni joylashtirishni tavsiflovchi hujjatning alohida ustunlarida saqlang.

IPsec va OpenVPN so'zni boshqacha ishlatadi

IKEv2 qarshi tomonni sertifikat o'rniga oldindan kelishilgan sir bilan autentifikatsiya qilishi mumkin va qiymat ikki tomonda ham mos kelishi kerak. O'sha sir odatda tomonlar guruhi uchun sozlanadi, shuning uchun har qanday egasi boshqalarning o'rniga o'tishi mumkin va almashinuv hech qachon ega bo'lmagan identifikatsiya kalitlaridan oldinga qarab maxfiylik olmaydi.

OpenVPN'ning tls-auth va tls-crypt variantlari boshqaruv kanaliga statik kalit bog'laydi, yo HMAC imzosini qo'shadi, yo muzokaralarning o'zini shifrlaydi. Bu kalit foydalanuvchi paroli emas va mijoz sertifikatini almashtirmaydi. Ikkalasini ajratish yangilash paytida muhim, chunki parolni o'zgartirish boshqaruv kanali kalitiga tegmaydi.

WireGuard'ning PSK'si qo'shadi, shaxsni aniqlamaydi

WireGuard tomonlarining allaqachon Curve25519 ochiq va shaxsiy kalitlari bor va qo'l siqish bu identifikatsiyalarni autentifikatsiya qiladi. Ixtiyoriy oldindan kelishilgan kalit zanjir kalitiga aralashadi va ochiq kalitlar almashinuvining ustiga simmetrik material qo'shadi.

U o'zi shaxsni ham, foydalanuvchi hisobini ham bermaydi, shuning uchun operator ikki egasini PSK'lari bo'yicha ajrata olmaydi. Ikki tomon ham bir xil qiymatni olib yurishi kerak, aks holda qo'l siqish foydali xato xabarisiz muvaffaqiyatsiz bo'ladi. Shuning uchun rotatsiyani bitta faylni tahrirlash sifatida emas, ikki tomon uchun bir vaqtda rejalashtirish kerak.

Tarqatish, rotatsiya va olib tashlashni tekshiring

Tarqatish bitta sirni ko'p joyda ishlatadigan har qanday loyihaning zaif nuqtasidir. Chat oynasiga yopishtirilgan, omborda saqlangan yoki muhitlar orasida qayta ishlatilgan qiymat hech kim sanay olmaydigan nusxalarni to'playdi va har bir nusxa zarar doirasini jimgina kengaytiradi.

Base64 matni shifrlash emas. Xuddi shu papkada ochiq sertifikat yonida saqlangan sir hali ham ochiq matndagi sirdir.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Jadval bo'yicha va har qanday shubhali oshkor bo'lishdan keyin rotatsiya qiling, eski qiymatni qaytarib olishdan oldin rejalashtirilgan har bir tomonni yangilang. So'ngra ulanishni ikki tomondan ham sinab ko'ring, chunki mos kelmaydigan kalit qo'l siqishda muvaffaqiyatsiz bo'ladi va xuddi xavfsizlik devori muammosiga o'xshaydi.

Qaysi sir qaysi bosqichni himoya qilishini hujjatlashtiring, shunda parolni tiklash hech qachon kriptografik kalitni yangilash bilan aralashtirilmaydi. O'sha bitta satr kimdir joylashtirishni tekshirganda har safar bir soat tejaydi.