DES teenoor 3DES in 'n VPN: waarom albei die verkeerde opgradering is

Albei sifers is verouderd, en nie een is die regte teiken vir nuwe verkeer nie. Die nuttige vergelyking is nie DES teen 3DES nie; dit is 'n uitgefaseerde algoritme teen een wat nog onderhou word. As 'n gateway nog een van die twee aanbied, is die werk om uit te vind wat dit vereis en daardie vereiste te verwyder, nie om die sterker van twee doodlopende paaie te kies nie.

Die vergelyking waarna mense nog soek, is die verkeerde een

Antwoorde wat in die 2000's geskryf is, vergelyk DES met drievoudige DES en kom tot die gevolgtrekking dat drievoudige DES sterker is. Dit was toe redelik en is nou nutteloos, want albei is uitgefaseer vir die beskerming van nuwe verkeer, en die keuse tussen hulle is 'n keuse tussen twee doodlopende paaie.

NIST het die DES-standaard in 2005 teruggetrek, en sy TDEA-aanbeveling is in Januarie 2024 teruggetrek nadat die sperdatum om TDEA vir nuwe kriptografiese beskerming te gebruik, aan die einde van 2023 verstryk het. Daardie datums beskryf 'n oorgang, nie 'n rangorde nie. 'n Kort sessie of 'n boodskap van lae waarde maak nie die vraag oop nie, want die algoritme se status hang nie daarvan af hoe lank die sleutel gebruik word nie.

Sleutelhernuwing is 'n aparte beheer, en dit herstel nie goedkeuring nie.

Skei onderhandeling van die datapad

VPN-protokolle onderhandel beskerming op meer as een plek. 'n Beheerkanaal kan een stel gebruik terwyl die gedraagde data 'n ander een gebruik, en 'n voorstelllys sê net wat 'n eweknie bereid is om te aanvaar. Lees die onderhandelde resultaat, nie die aanbod nie. Daardie onderskeid verduidelik 'n algemene verwarring: 'n gateway lys nog 'n ou algoritme en 'n operateur aanvaar dat dit in gebruik is, terwyl dit aangebied en nooit gekies kan word nie, of net vir een ou eweknie gekies word.

Op 'n IPsec-gateway is die relevante uitset die sekuriteitsassosiasie; op OpenVPN is dit die sifer- en TLS-instellings in die verbindingslog. Albei sê wat gekies is. Nie een word bewys deur 'n ou opsie wat nog in 'n konfigurasielêer bestaan nie.

As jy die onderhandelde resultaat nie kan sien nie, kan jy nie beweer die sifer is uitgefaseer nie.

Vind die komponent wat dit nog vra

Ou vereistes kom van drie plekke: 'n ou kliënt wat niks beters bied nie, 'n gateway-beleid wat die algoritme nog lys, en 'n toestel wat net die ou protokol praat. Elkeen het 'n ander oplossing. Vra die eienaar van die beperking watter een dit is voordat jy 'n versoenbaarheidsverskaffer aktiveer, want die aktivering daarvan raak elke eweknie wat verbind.

Vir 'n enkele toestel wat nog nie vervang kan word nie, plaas 'n onderhoude gateway voor dit en beperk wat daardie grens dra. Dit beperk die ou sifer sonder om elke afgeleë gebruiker dit te laat erf.

Beperking is nie 'n pleister nie, en dit maak die ou gasheer nie betroubaar nie.

Migreer met die kontroles wat jy reeds het

'n Migrasie is klaar wanneer die beoogde eweknieë met die onderhoude profiel verbind, die onderhandelde stel die een is wat jy verwag het, en die toepassing werk. Hou bedieneridentiteitsverifikasie en rekeningkontroles regdeur in plek; 'n siferverandering is nie 'n rede om hulle te verslap nie.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Teken die kliënt- en gateway-weergawes langs die onderhandelde resultaat aan, sodat die volgende hersiening kan sien wat werklik verander het.

Trek die ou toestemming deur sy eienaar terug en bevestig dan dat 'n eweknie wat net die uitgefaseerde algoritme bied, nou geweier word. 'n Migrasie wat die ou opsie geaktiveer laat, is 'n migrasie wat nie plaasgevind het nie. Hou die weieringsbewys by die veranderingsrekord, want die volgende oudit sal vra hoe jy dit weet, en 'n verwyderde konfigurasielêer is swakker bewyse as 'n aangetekende weiering. Voeg die toetsdatum en die eweknie-identiteit by daardie rekord terwyl die sessie nog vars is.

Historiese data is 'n ander probleem

Om 'n argief te lees wat jare gelede beskerm is, kan wettiglik die ou algoritme vereis. Dit is ontsyphering van bestaande materiaal, en dit is nie dieselfde taak as om nuwe verkeer te beskerm nie.

Hou sulke werk op 'n geïsoleerde gasheer met 'n gedokumenteerde doel en 'n kort lys van wie dit mag uitvoer.

Die onderskeid is belangrik, want dit is die enigste eerlike rede om 'n uitgefaseerde sifer beskikbaar te hou. Dit regverdig 'n beperkte instrument, nooit 'n permanente reël in 'n openbare VPN-profiel nie.