IKEv2 ní ìwé-ẹ̀rí méjì: ìwé-ẹ̀rí àti IKE_AUTH

Tíkẹ́tì rẹ sọ pé ìwé-ẹ̀rí náà jẹ́ SHA-256 nígbà tí àkọsílẹ̀ ẹnubode ń dárúkọ àlúmọ́nì ìfọwọ́sí mìíràn, ẹnìkan sì ti ṣe àdàkọ ìbéèrè láti tún CA jáde. Kí ìbéèrè yẹn tó lọ ibikíbi, ya ìfọwọ́sí méjèèjì náà kúrò: ọ̀kan jẹ́ èdìdì olùgbéjáde lórí kọ́kọ́rọ́ gbangba, èkejì ni ẹ̀rí ẹlẹgbẹ́ pé ó ní kọ́kọ́rọ́ àdáni tí ó bára mu nígbà IKE_AUTH. Àwọn èròjà ọ̀tọ̀ọ̀tọ̀ ni wọ́n ń yàn wọ́n, ó sì yọ̀ǹda pé kí wọ́n yàtọ̀. Kíka ọ̀kọ̀ọ̀kan láti ibi tí ó ń gbé ń béèrè àṣẹ méjì àti tábìlì kan.

Ka ìfọwọ́sí olùgbéjáde láti inú ìwé-ẹ̀rí

CA fi ìfọwọ́sí rẹ̀ sórí ìdè láàrín ìdánimọ̀ àti kọ́kọ́rọ́ kan. Ìfọwọ́sí yẹn ń kọ ohun tí CA ṣe nígbà ìgbéjáde, kì í ṣe ohun tí ẹni náà yóò ṣe nígbà tí ó bá so pọ̀, nítorí náà àlúmọ́nì rẹ̀ ń ṣàpèjúwe yíyàn hash àti kọ́kọ́rọ́ ti CA fúnra rẹ̀. Kọ́kọ́rọ́ ẹni kan lè wà lábẹ́ kọ́kọ́rọ́ CA irú mìíràn láìsí àtakò kankan, àti yíyí kọ́kọ́rọ́ CA jẹ́ ìṣe déédéé kì í ṣe àìtó. Ka ààyè méjèèjì, ìlàjì àkójọpọ̀ wà ní ọ̀dọ̀ rẹ:

openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"

Kọ àmì méjèèjì gẹ́gẹ́ bí àkọsílẹ̀ ọ̀tọ̀ọ̀tọ̀. Èkínní ń ṣàpèjúwe CA, èkejì ń ṣàpèjúwe kọ́kọ́rọ́ ẹni náà, kò sì sí èyí tí ó ń sọ ìfọwọ́sí orí ayélujára kíákíá.

Ka ìfọwọ́sí orí ayélujára láti inú ìpàṣípààrọ̀ IKE

Nígbà ìjẹ́rìí, ẹlẹgbẹ́ kọ̀ọ̀kan fi kọ́kọ́rọ́ àdáni tirẹ̀ fi ọwọ́ sí dátà ìpàṣípààrọ̀, ẹ̀gbẹ́ kejì sì ń ṣàyẹ̀wò ẹ̀rí yẹn lórí ìdánimọ̀, ìdìpọ̀ ìgbẹ́kẹ̀lé àti ìlànà ìwé-ẹ̀rí náà. Nínú RSA, ìkún àti hash jẹ́ ti ètò orí ayélujára yìí, nítorí náà kọ́kọ́rọ́ gígùn tàbí ìwé-ẹ̀rí SHA-256 tuntun kò lè yan RSA-PSS fún ìfọwọ́sí ìjẹ́rìí fúnra rẹ̀. Ọ̀nà tí wọ́n gbà dùn ún ń farahàn nínú àkọsílẹ̀ daemon tàbí nínú àkójọ ìsopọ̀ rẹ̀, kì í farahàn nínú ìwé-ẹ̀rí rárá. Béèrè lọ́wọ́ ẹ̀gbẹ́ kọ̀ọ̀kan ohun tí ó gbà dùn ún, nítorí pé ọ̀nà méjèèjì lè yàtọ̀.

ipsec statusall | grep -i "auth\|proposal"

Nígbà tí ẹ̀gbẹ́ kan bá dárúkọ ètò tí ẹ̀gbẹ́ kejì kò lè ṣe, o ti rí àìbára mu tí tíkẹ́tì náà ń sọ. Tútún CA jáde ni àtúnṣe tí kò tọ́ fún un, nítorí ìwé-ẹ̀rí kì í ṣe ohun tí ó kùnà rárá.

Ohun tí RFC 7427 ń yí padà, àti ohun tí kò yí padà

Àwọn ọ̀nà àkọ́kọ́ ni a ti ń kà ní ìbámu pẹ̀lú àdàpọ̀ àlúmọ́nì nínú RFC 7296. Àfikún ìfọwọ́sí RFC 7427 tí ó tẹ̀lé ń fi ọ̀nà Digital Signature gbogbogbòò kún un pẹ̀lú àmì ìtìlẹ́yìn hash ìfọwọ́sí, nítorí náà hash tuntun kò nílò nọ́mbà ọ̀nà tirẹ̀ mọ́. Wọ́n ń gbà dùn ún, a kì í dá a lórí: ẹlẹgbẹ́ kò gba àfikún náà nítorí pé ẹ̀ka-ìkẹ́kọ̀ọ́ rẹ̀ lè ṣàyẹ̀wò àwọn ìwé-ẹ̀rí kan náà, ẹlẹgbẹ́ tí ó sì ń ṣe àwọn ọ̀nà àkọ́kọ́ nìkan ń fipá mú ẹnubode láti pa ọ̀kan nínú wọ́n mọ́. Ìyẹn jẹ́ pàṣípààrọ̀ ìlànà pẹ̀lú iye ìbámu, kì í ṣe àbùkù.

Ìtìlẹ́yìn jẹ́ fún ọ̀nà kọ̀ọ̀kan àti ìsopọ̀ kọ̀ọ̀kan, nítorí náà dán ìkọ́lé tí ó wà níwájú rẹ wò dípò gbígbẹ́kẹ̀lé àṣẹ ní ìpele ẹbí. Mátírísì agbára tí a kọ ní ọdún mẹ́ta sẹ́yìn ń ṣàpèjúwe àwọn ìkọ́lé ọdún mẹ́ta.

Fi ìlà mẹ́rin sínú àkójọpọ̀

Àkọsílẹ̀ tí ó ń parí àríyànjiyàn ní ìlà mẹ́rin, wọ́n ka ọ̀kọ̀ọ̀kan láti ibi ọ̀tọ̀ọ̀tọ̀, ẹnìkan ọ̀tọ̀ọ̀tọ̀ sì yí ọ̀kọ̀ọ̀kan padà. Kún un kí o tó pinnu ohunkóhun, nítorí ìlà tí kò tọ́ ni ó ń yan àtúnṣe náà.

Ìlà kọ̀ọ̀kan ń gbé àbájáde ìbámu tirẹ̀. Yíyí cipher ESP kò yan ìfọwọ́sí olùgbéjáde, ìtúútù ìṣàyẹ̀wò CA kò sì fi ọ̀nà orí ayélujára kún un tí àwọn ẹlẹgbẹ́ kò gbà dùn ún rárá. Nígbà tí tíkẹ́tì bá sọ àìbára mu ìfọwọ́sí, ìlà tí kò tọ́ gan-an kì í ṣe èkínní rárá.

Yanjú ọ̀ràn àtijọ́ láìsí dídi PKI kù

Ẹlẹgbẹ́ àtijọ́ lè má pèsè àyàfi ètò tí ìlànà rẹ kò gbà mọ́. Àwọn àṣàyàn ni àyọkúrò ìbámu pẹ̀lú àkókò, ìmúdójúìwọ̀n alákọ̀ọ́kọ́, tàbí ìṣètò ìjẹ́rìí mìíràn fún ẹlẹgbẹ́ yẹn nìkan. Títún PKI kọ́ yí ìfọwọ́sí ìwé-ẹ̀rí aláìlágbára kò ṣàtúnṣe ààlà nínú ìpàṣípààrọ̀ orí ayélujára, ó sì ń dí àwọn iṣẹ́ mìíràn tí ó gbẹ́kẹ̀lé CA kan náà kù. Kọ ìlà tí o yí padà àti ìgbà tí àyọkúrò náà yóò parí.

Lẹ́yìn náà tún ìkíkà méjèèjì ṣe láti orí, nítorí ìyípadà nínú ìlà kan lè mú ohun tí wọ́n ń gbà dùn ún nínú òmíràn lọ. Gbogbo àkójọpọ̀ jẹ́ àṣẹ méjì àti tábìlì kan, iṣẹ́ kan náà sì ni yálà ẹlẹgbẹ́ jẹ́ olùdarí ọ̀nà, kọ̀mpútà alágbèéká tàbí ohun èlò.