Voorswaartse geheimhouding vir 'n VPN: wat 'n gesteelde sleutel kan ontsluit

Neem vandag 'n versleutelde tonnel op, steel volgende jaar die bediener se langtermyn privaatsleutel, en probeer dan die opname ontsleutel. Voorswaartse geheimhouding is die eienskap wat sê die gesteelde sleutel sal nie op sy eie genoeg wees nie. Dit is 'n stelling oor opgeneemde sessies en spesifieke geheime, nie 'n algemene belofte dat die tonnel veilig was nie. Om die omvang reg te kry, is wat die term bruikbaar maak.

Die vraag gaan oor 'n opname, nie die lewende sessie nie

Die langtermynsleutel identifiseer die eindpunt en onderteken die handdruk. Sessiesleutels versleutel die werklike verkeer, en in 'n voorwaarts-geheime ontwerp word hulle afgelei van vars sleuteluitruilmateriaal wat beide kante genereer en later weggooi. 'n Aanvaller met net die langtermynsleutel kan daardie weggegooide waardes nie herkonstrueer nie. 'n Aanvaller met lewende sessietoestand kan dit steeds doen, en daarom gaan die waarborg oor die verlede eerder as die hede.

Die bewering is voorwaardelik: dit geld net as die efemere geheime werklik vernietig is en die protokol die een is wat jy dink dit is. 'n Gemengde ontplooiing kan dit op een tonnel nakom en op 'n ander faal.

Een geheim moet nie die ander herbou nie

Kontroleer die onderhandelde modus eerder as die bemarkingsbladsy. Die handdruk-uitset noem die sleuteluitruiling en die protokolweergawe.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Die s_client-opsomming wys die TLS-weergawe en sleuteluitruilgroep, en 'n efemere groep is die sigbare teken van voorwaarts-geheime sleutelooreenkoms. Die swanctl-lys wys IKE- en CHILD-assosiasies met hul herskakel-tydsmetings, so jy kan sien of die ontplooiing sleutels volgens 'n skedule vernuwe. 'n Statiese RSA-sleuteluitruiling, of 'n ou versoenbaarheidsmodus, verloor die eienskap ongeag die cipher-naam. Teken die modus aan wat jy waargeneem het, nie die een wat die verskaffer geadverteer het nie.

Hersleuteling is nie outomaties voorwaartse geheimhouding nie

Hoe dikwels 'n tonnel herskakel, is 'n aparte vraag van hoe elke sleutel afgelei word. 'n Ontwerp wat sleutels uit 'n langtermyngeheim hergenereer, kan elke minuut herskakel en steeds die toets faal, want 'n latere kompromie herkonstrueer hulle almal. Omgekeerd kan 'n protokol met ongereelde herskakeling steeds voorwaarts geheim wees wanneer elke uitruiling onafhanklik is. Lees die afleiding, nie die interval nie, en moenie 'n kort herverbind-tydmeting met 'n kriptografiese waarborg verwar nie.

Dieselfde verwarring kom voor by cipher-name: 'n moderne cipher sê niks oor hoe sy sleutel aangekom het nie.

Wat sigbaar bly ná die waarborg

Voorswaartse geheimhouding beskerm die gewone teks van opgeneemde sessies teen 'n toekomstige sleutelkompromie, en dit doen niks aan 'n aanvaller wat lewendige verkeer op 'n gekompromitteerde eindpunt lees nie. Dit verwyder nie bestemmingsadresse, tydsberekening of volume uit die opname nie, en dit beperk nie hoe lank 'n operateur verbindingslogboeke hou nie. Dit maak ook nie 'n gekompromitteerde kliënt betroubaar nie, want die aanvaller sit reeds waar inhoud in die oopte bestaan.

Wanneer 'n verskaffer voorwaartse geheimhouding beweer, vra watter langtermyngeheim as gesteel aanvaar word en watter sessiegeheime onbeskikbaar bly. As daardie twee vrae duidelike antwoorde het, beteken die bewering iets.