DES مقابل 3DES في شبكة VPN: لماذا كلاهما ترقية خاطئة

كلتا الشيفرتين متقادمتان، ولا واحدة منهما هدف صحيح لحركة المرور الجديدة. المقارنة المفيدة ليست بين DES و3DES؛ بل بين خوارزمية متقاعدة وأخرى لا تزال تُصان. وإذا كانت بوابة ما لا تزال تعرض إحداهما، فالمهمة هي اكتشاف ما يتطلبها وإزالة ذلك الشرط، لا اختيار الأقوى بين طريقين مسدودين.

المقارنة التي لا يزال الناس يبحثون عنها هي المقارنة الخاطئة

الإجابات التي كُتبت في سنوات 2000 تقارن DES بالتشفير الثلاثي وتستنتج أن التشفير الثلاثي أقوى. كان ذلك معقولاً حينها ولا فائدة منه الآن، لأن كليهما متقاعد لحماية حركة المرور الجديدة، والاختيار بينهما اختيار بين طريقين مسدودين.

سحبت NIST معيار DES في عام 2005، وسُحبت توصيتها الخاصة بـ TDEA في يناير 2024 بعد انقضاء الموعد النهائي لتطبيق TDEA على حماية تشفيرية جديدة في نهاية عام 2023. تلك التواريخ تصف انتقالاً، لا ترتيباً. الجلسة القصيرة أو الرسالة منخفضة القيمة لا تعيد فتح المسألة، لأن وضع الخوارزمية لا يعتمد على مدة استخدام المفتاح.

تجديد المفتاح ضابط منفصل، ولا يعيد الاعتماد.

افصل التفاوض عن مسار البيانات

تتفاوض بروتوكولات VPN على الحماية في أكثر من موضع. قد تستخدم قناة التحكم مجموعة وتستخدم البيانات المنقولة مجموعة أخرى، وقائمة العروض لا تقول إلا ما يقبله الطرف الآخر. اقرأ النتيجة المتفاوض عليها، لا العرض. هذا التمييز يفسر ارتباكاً شائعاً: لا تزال بوابة تسرد خوارزمية قديمة فيفترض المشغل أنها قيد الاستخدام، بينما قد تكون معروضة ولا تُختار أبداً، أو تُختار لطرف قديم واحد فقط.

على بوابة IPsec، الناتج ذو الصلة هو رابطة الأمان؛ وعلى OpenVPN يكون الأمر هو إعدادات الشيفرة وTLS في سجل الاتصال. كلاهما يخبرك بما تم اختياره. ولا يثبت أياً منهما وجود خيار قديم ما زال في ملف الإعدادات.

إذا لم تستطع رؤية النتيجة المتفاوض عليها، فلا يمكنك الادعاء بأن الشيفرة أُزيلت.

ابحث عن المكوّن الذي لا يزال يطلبها

تأتي المتطلبات القديمة من ثلاثة مصادر: عميل قديم لا يقدم أفضل من ذلك، وسياسة بوابة لا تزال تسرد الخوارزمية، وجهاز لا يتحدث إلا البروتوكول القديم. ولكل منها إصلاح مختلف. اسأل مالك القيد أيها هو قبل تمكين مزوّد توافق، لأن تمكينه يؤثر في كل طرف يتصل.

بالنسبة لجهاز واحد لا يمكن استبداله بعد، ضع بوابة تُصان أمامه وحدّد ما يعبر ذلك الحد. هذا يحتوي الشيفرة القديمة دون أن يجعل كل مستخدم بعيد يرثها.

الاحتواء ليس رقعة، ولا يجعل المضيف القديم جديراً بالثقة.

اهجر بالفحوصات التي لديك بالفعل

تنتهي الهجرة عندما يتصل الأطراف المقصودون بالملف الذي تُصان، وتكون المجموعة المتفاوض عليها هي ما توقعته، ويعمل التطبيق. أبقِ التحقق من هوية الخادم وفحوصات الحساب قائمة طوال الوقت؛ تغيير الشيفرة ليس سبباً لتخفيفها.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

سجّل إصدارات العميل والبوابة بجوار النتيجة المتفاوض عليها، حتى تعرف المراجعة التالية ما تغيّر فعلاً.

أزل الإذن القديم عبر مالكه، ثم تأكد من أن الطرف الذي يعرض الخوارزمية المتقاعدة فقط يُرفض الآن. الهجرة التي تُبقي الخيار القديم ممكّناً هي هجرة لم تحدث. احفظ دليل الرفض مع سجل التغيير، لأن التدقيق التالي سيسأل كيف عرفت، وسطر إعداد محذوف دليل أضعف من رفض مسجّل. أضف تاريخ الاختبار وهوية الطرف إلى ذلك السجل ما دامت الجلسة جديدة.

البيانات التاريخية مشكلة مختلفة

قراءة أرشيف محمي منذ سنوات قد تتطلب فعلاً الخوارزمية القديمة. هذا فك تشفير لمادة موجودة، وليس المهمة نفسها المتعلقة بحماية حركة المرور الجديدة.

أبقِ هذا العمل على مضيف معزول بغرض موثّق وقائمة قصيرة بمن يجوز له تشغيله.

التمييز مهم لأنه السبب الصادق الوحيد لإبقاء شيفرة متقاعدة متاحة. إنه يبرر أداة محدودة النطاق، لا سطراً دائماً في ملف VPN عام.