Mac IKEv2 ECDSA: irú ẹ̀rí wo ni ó jẹ́ ti alábàáṣepọ̀?
Lórí Mac, ECDSA256 nínú àwọn ètò IKEv2 ṣàpèjúwe ẹ̀rí ìdánimọ̀ àdúgbò, kì í ṣe ẹnubodè tàbí ìbọwọ́ olùgbéjáde. Ka ipa kọ̀ọ̀kan kí o tó yan.
Lórí macOS, yíyan ECDSA nínú ètò alábàáṣepọ̀ IKEv2 dáhùn ìbéèrè tóóró kan: irú ẹ̀rí wo ni ó fi ìdánimọ̀ Mac hàn. Kò ṣàpèjúwe ẹ̀rí ẹnubodè, ìbọwọ́ tí ó gbé ẹ̀rí alábàáṣepọ̀ jáde, tàbí àbá ìforúkọ́pamọ́ fún ojú irin. Kíka àwọn ipa mẹ́rin yìí gẹ́gẹ́ bí ìbéèrè ìbáramu kan ṣoṣo ni ó máa ń mú kí ètò àdúgbò tí ó tọ́ di ẹni tí a dẹ́bi fún àìbáramu ní ẹ̀gbẹ́ olupèsè. Ìpinnu kéré, ṣùgbọ́n ẹ̀rí tí a lò láti ṣe é gbọdọ̀ péye.
Ààyè yìí dárúkọ ẹ̀rí kan: ìdánimọ̀ àdúgbò
Network Extension API ti Apple ṣí irú ẹ̀rí kan fún ẹ̀rí ìdánimọ̀ alábàáṣepọ̀, pẹ̀lú NEVPNIKEv2CertificateType.ECDSA256, tí a kọ sílẹ̀ gẹ́gẹ́ bí irú ẹ̀rí ECDSA p-256. Ànímọ́ yìí kan ẹ̀rí tí a pèsè nípasẹ̀ identityReference tàbí identityData.
Ìyẹn túmọ̀ sí pé ìpinnu náà kan ẹ̀rí tí Mac gbé kalẹ̀, pẹ̀lú kọ́kọ́rọ́ àdáni tí ó bá a lọ. Yan irú tí ó bá kọ́kọ́rọ́ gbangba ti ẹ̀rí ewé yẹn mu, kí o sì pèsè ìdánimọ̀ nípasẹ̀ ọ̀nà tí a ṣe àtìlẹ́yìn fún. Tí Mac kò bá ní kọ́kọ́rọ́ àdáni tí ó ṣe é lò fún ìdánimọ̀, yíyan irú kò lè gba ìsopọ̀ náà là.
Àwọn profáìlì tí a ń ṣàkóso gbé ìpinnu kan náà nípasẹ̀ CertificateType ti ẹrù IKEv2, pẹ̀lú ìtọ́kasí ẹ̀rí bí PayloadCertificateUUID. Àwọn ààyè wọ̀nyí ní àwọn àídájú àkọ́kọ́ àti ètò fún ẹ̀yà OS àfojúsùn; iye irú òfo tí a dà sínú profáìlì kò ṣe é fi sórí ẹ̀rọ, fèrèsé ètò sì lè má ṣàfihàn gbogbo àṣàyàn API. Ṣàyẹ̀wò àwọn àídájú àkọ́kọ́ ti ẹrù fún ẹ̀yà yẹn kí o tó gbé e kalẹ̀.
Pinnu nípa ipa, kì í ṣe nípa àmì ẹ̀rí
Ka ààyè tí ìwọ yóò yí padà kí o sì béèrè ẹ̀rí wo ni ó ń tọ́ka sí. Àwọn àmì nínú olùwò ẹ̀rí máa ń dà kókó-ọ̀rọ̀, olùgbéjáde àti alugorídìmù ìbọwọ́ pọ̀, ọ̀kan nínú wọn ni ó jẹ́ ti yíyan ìdánimọ̀ alábàáṣepọ̀.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Tí olùwò ẹ̀rí bá fi ìbọwọ́ ECDSA láti CA hàn, ìyẹn ń ṣàpèjúwe kọ́kọ́rọ́ ìbọwọ́ olùgbéjáde. Kọ́kọ́rọ́ alábàáṣepọ̀ fúnra rẹ̀ lè ṣì jẹ́ RSA, ààyè irú sì gbọdọ̀ tẹ̀lé kọ́kọ́rọ́ alábàáṣepọ̀, kì í ṣe ìlà ìbọwọ́. Ìdàrú kan ṣoṣo yìí ṣàlàyé ọ̀pọ̀ ìròyìn "a ti ṣètò ECDSA ṣùgbọ́n ìsopọ̀ kùnà". Fi irú kọ́kọ́rọ́ inú ewé wé irú tí a yàn nínú profáìlì kí o tó yí ohunkóhun padà.
Ìpinnu máa ń rọrùn nígbà tí a bá ti dá ewé mọ̀: ECDSA256 fún kọ́kọ́rọ́ alábàáṣepọ̀ p-256, irú mìíràn tí a ṣe àtìlẹ́yìn fún kọ́kọ́rọ́ tí ó yàtọ̀. Tí ẹ̀rí alábàáṣepọ̀ àti kọ́kọ́rọ́ rẹ̀ kò bá bá ara wọn mu, tún bèèlì yẹn ṣe kí o tó yí profáìlì VPN padà.
Ẹ̀rí ẹnubodè jẹ́ ìpinnu ọ̀tọ̀
Ẹnubodè gbé ẹ̀rí tirẹ̀ kalẹ̀, Mac sì fi ẹ̀rí náà wé orí ìgbẹ́kẹ̀lé àti orúkọ tí a retí. Bóyá ẹ̀rí yẹn ń lo ECDSA, RSA tàbí irú kọ́kọ́rọ́ mìíràn jẹ́ ànímọ́ olupèsè, kì í ṣe ti ètò ìdánimọ̀ alábàáṣepọ̀.
Àtìlẹ́yìn àdúgbò fún ẹ̀rí alábàáṣepọ̀ ECDSA kò fi hàn pé gbogbo ẹ̀rí ẹnubodè, ọ̀nà tẹ́ẹ̀lì tàbí ìṣètò ìjẹ́rìí olupèsè yóò ṣiṣẹ́ pọ̀. Ṣàyẹ̀wò ìdánimọ̀ olupèsè, ẹ̀wọ̀n rẹ̀ àti ọ̀nà ìjẹ́rìí IKE gẹ́gẹ́ bí àwọn ìwọlé ọ̀tọ̀ọ̀tọ̀, kí o sì dán wò pẹ̀lú profáìlì tí a óò gbé kalẹ̀ gan-an.
Tí ẹ̀rí ẹnubodè bá ni ìṣòro náà, àmì máa ń farahàn nígbà ìjẹ́rìí ẹlẹgbẹ́, kì í ṣe nígbà yíyan ìdánimọ̀. Ka ìpele ìkùnà kí o tó yí irú alábàáṣepọ̀ padà, nítorí ìkùnà ìgbẹ́kẹ̀lé àti àìbáramu kọ́kọ́rọ́ alábàáṣepọ̀ kò ní àtúnṣe kan náà.
Ìbọwọ́ olùgbéjáde àti ẹgbẹ́ àdéhùn kọ́kọ́rọ́ kì í ṣe irú alábàáṣepọ̀
X.509 ń tọ́jú kọ́kọ́rọ́ gbangba ti kókó-ọ̀rọ̀ àti ìbọwọ́ olùgbéjáde sínú àwọn ààyè ọ̀tọ̀ọ̀tọ̀. Ìsọfúnni kọ́kọ́rọ́ gbangba kókó-ọ̀rọ̀ ń ṣàpèjúwe kọ́kọ́rọ́ inú ẹ̀rí; alugorídìmù ìbọwọ́ ń ṣàpèjúwe kọ́kọ́rọ́ CA àti iṣẹ́ ìbọwọ́. Ìkọ́kọ́ nìkan ni ó bá ètò irú ẹ̀rí mu.
Àwọn àbá IKE àti Child SA jẹ́ àáké mìíràn. Irú ẹ̀rí ECDSA kì í ṣe yíyan ìforúkọ́pamọ́ ESP, yíyí ẹgbẹ́ àdéhùn kọ́kọ́rọ́ kò sì yan irú ẹ̀rí. Profáìlì lè ní àwọn àbá tí ó tọ́ pẹ̀lú irú ìdánimọ̀ tí kò tọ́, tàbí irú ìdánimọ̀ tí ó tọ́ pẹ̀lú àbá tí ẹlẹgbẹ́ kọ̀.
Pa ìlà mẹ́ta ọ̀tọ̀ nínú àkọsílẹ̀ ìyípadà: ẹ̀rí àti kọ́kọ́rọ́ ìdánimọ̀, àwọn ìwọlé ìgbẹ́kẹ̀lé ẹnubodè, àti alugorídìmù àwọn àbá. Kíké wọn pọ̀ sínú àkọsílẹ̀ kan "ètò crypto" máa ń jẹ́ kí ìkùnà tó ń bọ̀ má ṣe é ṣàlàyé.
Ṣàyẹ̀wò ìpinnu pẹ̀lú àwọn ààyè tí o ṣètò
Ṣàyẹ̀wò ìdánimọ̀ tí profáìlì ń tọ́ka sí gan-an, lẹ́yìn náà jẹ́rìí pé ẹ̀rí ní ìtọ́kasí yẹn ní kọ́kọ́rọ́ gbangba tí a retí àti kọ́kọ́rọ́ àdáni tí ó ṣe é lò. Irú tí a fi hàn nínú UI, ẹ̀rí tí a tọ́ka sí àti kọ́kọ́rọ́ lórí ẹ̀rọ gbọdọ̀ bá ara wọn mu.
Lẹ́yìn náà jẹ́rìí àwọn ìwọlé ẹnubodè: orúkọ olupèsè tí a retí, orí ìgbẹ́kẹ̀lé àti ọ̀nà ìjẹ́rìí IKE. Níkẹyìn, sopọ̀ kí o sì ka ibi tí ìfọwọ́sowọ́pọ̀ dúró. Ìkùnà kí ìpàṣípààrọ̀ ìdánimọ̀ tó ṣẹlẹ̀ ń tọ́ka kúrò lórí ètò yìí; ìkùnà nínú ìjẹ́rìí ẹlẹgbẹ́ ń tọ́ka sí ẹ̀gbẹ́ ẹnubodè.
Kọ irú tí a yàn, ìtọ́kasí ìdánimọ̀ àti kókó-ọ̀rọ̀ ẹ̀rí ẹnubodè sínú àwọn àkọsílẹ̀ ìgbékalẹ̀. Ìmúdójúìwọ̀n profáìlì tó ń bọ̀ lè yí èyíkéyìí nínú wọn padà, àwọn iye mẹ́ta tí a dárúkọ sì máa ń yára wé ju àwòrán ojú-ìwé ẹ̀rọ ààyè lọ.