ルーターを信頼してプライベートIPSecキーを盗まないようにするにはどうすればよいですか？
IPSecプロトコルを使用してVPNに接続したい。そのためには、ルーターまたはそれをサポートするその他のデバイスが必要です。
私はこれをeBayで見つけました： https://www.ebay.com/itm/IPsec-VPN-server-military-secure-design-for-dummy-better-performance-now-/14200066104
問題は、秘密鍵を盗んだり、MITM攻撃を行ったりしていないことをこのデバイスにどのように信頼できるかです。
このデバイスが秘密キーを盗んだり、MITM攻撃を行ったりしていないことをどのように信頼できますか？
信頼するのは簡単です。
さらに複雑なのは、このデバイスを盲目的に信頼するのではなく、なぜ信頼すべきか、なぜ信頼すべきでないかという実際の議論を見つけることです。
- これは評判の良いベンダーですか、信頼できる他のベンダーがこのベンダーの経験を持っていますか？
- 製品は宣伝どおりに機能し、バックドアはありませんか？信頼できる他の人がこの製品の経験を持っていますか？
- この製品の仕様は公開されていますか、それらを理解でき、この製品が有害な追加なしにこれらの仕様に従って構築されていることを確認できますか？
これらの質問に答えられない場合は、おそらく製品を盲目的に信頼する必要があるか、この製品が信頼できると主張する誰かを盲目的に信頼する必要があります。
それとは別に、 "IPsec VPNサーバー、ミリタリーセキュア、として設計されたダミーとして設計されたデバイスを見つけました！パフォーマンス今」非常に疑わしい。そもそも、この「軍事安全」とは何ですか？これはおそらく [〜＃〜] emp [〜＃〜] 耐性があるという意味ではありません。代わりに、HTTPSサイトにアクセスするときにブラウザーが使用するのと同じ確立された暗号化アルゴリズムを使用しているとおそらく言われているだけです。誰かがそのような誇張された主張に基づいて彼の製品の販売を行う必要がある場合、私は個人的にこの製品をあまり信頼しません。
製品は手動で設定された Orange Pi デバイスです。誰かがそれを作成して設定しました。あなたは彼らが彼らが何をしていたか知っていて、彼らがバックドアをインストールしなかったことを望みます。
商用製品では、誰もが製造業者を信頼しているという共通の信頼レベルがあり、ベンダーが何かを（意図的または偶然に）間違った場合は、誰もが問題を抱えています。これは悪いPRであり、会社に損害を与えます。
これらのデバイスを個別にカスタム作成すると、このレベルの基本的な信頼すらありません。デバイスがテストされているかどうか、またはデバイスが実行できると言っていることを実行しているかどうかはわかりません。彼らは露骨なバックドアをインストールすることができ、人々がそれを発見した場合、彼らは何ができますか？メディアに行きますか？いいえ、彼らは悪いeBayレビューを与えるでしょう。その後、ベンダーは名前を変更します。ここには保護がありません。
信頼方法は4つのカテゴリに分類されます。
- サードパーティによるレビューと監査（これはオープンソースが便利な場所です）
- デバイスが非常に一般的で、問題が発生し、公表または修正される可能性が高い（または問題が発生した場合、誰もが等しく影響を受ける）「集団免疫」（また、誰もが使用するオープンソースコードの要素）
- 問題がベンダーの最善の利益になっていない場合の商業的または評判的影響
- 自分で監査を実行する
したがって、このデバイスの監査を実行できない限り、ランダムなeBayベンダーから信頼できる多くのオプションがありません。
しかし、ちょっと、ベンダーは74の肯定的なレビューを持っています、それは自家製であり、彼らのウェブサイトはどこにでもあり、誰でも所有できる無料の動的ウェブサイトであり、あなたはサイトの所有者を検証する方法がありません。起こりうる最悪の事態とは...？
これはIPsecの根本的な欠陥であり、アクセス制御、認証、およびプライバシーのためのネットワーク層の使用です。本当にこれを行う必要がある場合は、ルーターとして使用するように設計されたブラックボックス製品を使用するのではなく、ルーターとして汎用コンピューティングデバイスで評判の良いオープンソースオペレーティングシステムを実行した方がよいでしょう。しかし、実際には、TCP）に加えてTLS（またはSSHなどの他の適切なプロトコル）を使用し、ネットワーク層を信頼できないものとして扱う必要があります。その場合、それ誰かがあなたのIPsecキーを盗んでいるかどうかは関係ありません。