Mã hóa giấu dữ liệu; xác thực định danh đối tác
Mã hóa bảo vệ nội dung, xác thực đối tác định danh máy chủ và cấp quyền quyết định một danh tính được mở những gì. Hãy hỏi cả ba điều trong một thiết kế VPN.
Mã hóa mà không kiểm tra đối tác có thể giao một cuộc trò chuyện mật cho nhầm bên. Xác thực mà không cấp quyền chứng minh ai đã kết nối, nhưng không cho biết họ được mở gì. Đó là ba kiểm soát riêng biệt, và một đánh giá VPN chỉ hỏi về thuật toán mã hóa chỉ trả lời một trong số đó. Hãy sắp xếp các câu hỏi trước khi mở bất kỳ trang cài đặt nào.
Bốn câu hỏi trước khi gọi nó là an toàn
Bốn câu hỏi tạo khung đánh giá: người quan sát đọc được gì, máy chủ nào trả lời, ai đang kết nối và danh tính đó được dùng gì. Mã hóa trả lời câu đầu, xác thực đối tác trả lời câu thứ hai, xác thực người dùng hoặc thiết bị trả lời câu thứ ba và cấp quyền trả lời câu cuối. Tên thuật toán hay một lần đăng nhập thành công chỉ là câu trả lời một phần.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Một thiết kế bỏ trống một hàng không trở nên an toàn nhờ củng cố một hàng khác. Các kiểm soát bổ sung cho nhau, không thể thay thế nhau.
Xác thực đối tác không phải đăng nhập
Máy khách xác minh máy chủ đúng là máy chủ dự định, dùng chứng chỉ đã cấu hình, khóa công khai hoặc một cơ chế được hỗ trợ khác. Một tổ chức chứng thực đáng tin cậy không biến mọi chứng chỉ từng phát hành thành máy chủ đúng, nên việc kiểm tra danh tính vẫn quan trọng. Gõ một mật khẩu hợp lệ vào một điểm cuối chưa được xác minh không làm điểm cuối đó đáng tin. Mật khẩu chỉ chứng minh rằng bạn sẵn lòng xác thực với bất kỳ ai đã trả lời.
WireGuard cho thấy cùng ý tưởng bằng công cụ khác: một khóa đối tác đã cấu hình thực hiện kiểm tra danh tính mà không có hộp thoại chứng chỉ kiểu trình duyệt. Một bí mật chung mà nhiều người dùng biết định danh nhóm nhiều hơn một cá nhân, vì thế thông tin đăng nhập riêng của thiết bị thường mang danh tính mạnh hơn.
Mã hóa có xác thực là một thuật ngữ mật mã
Mã hóa có xác thực nghĩa là thuật toán bảo vệ tính bí mật và phát hiện các thay đổi trái phép. Nó không có nghĩa là một người đã đăng nhập, và nó không quyết định tài khoản được mở những tệp nào. Tên một bộ thuật toán mô tả một cấu trúc, không phải quan hệ giữa hai bên. Tính toàn vẹn gói, danh tính đối tác và quyền của tài khoản là những yêu cầu liên quan với bằng chứng riêng.
Hồ sơ tin cậy RFC 5280 là tài liệu tham chiếu cho đường dẫn chứng chỉ và kiểm tra danh tính khi triển khai dùng X.509. Đọc nó hữu ích hơn là coi từ đã xác thực như đồng nghĩa với an toàn.
Đọc lỗi trước khi làm yếu một kiểm soát
Chứng chỉ hết hạn, đồng hồ hệ thống sai và danh tính máy chủ bất ngờ mỗi thứ có cách sửa riêng. Một tài khoản bị từ chối có cách khác. Nếu máy chủ đã thay đổi hợp pháp, hãy lấy tài liệu tin cậy cập nhật từ nhà vận hành đã xác minh. Gỡ bỏ kiểm tra danh tính để đường hầm kết nối là đổi một lỗi nhìn thấy được lấy một lỗi vô hình.
Bảo vệ thông tin đăng nhập mà đường hầm phụ thuộc. Một hồ sơ có thể chứa khóa riêng, và một mật khẩu đã lưu có thể cấp quyền truy cập từ xa. Khi một cái bị lộ, hãy dùng quy trình quản lý tài khoản hoặc khóa của dịch vụ, vì chọn một quốc gia khác trong danh mục máy khách không thu hồi danh tính cũ.