VPN-də DES və 3DES: hər ikisi niyə yanlış təkmilləşdirmədir

Hər iki şifrə köhnəlmişdir və heç biri yeni trafik üçün düzgün hədəf deyil. Faydalı müqayisə DES ilə 3DES arasında deyil; istifadədən çıxarılmış alqoritmlə hələ də dəstəklənən alqoritm arasındadır. Əgər bir şlüz hələ də bunlardan birini təklif edirsə, vəzifə onun nəyə görə tələb olunduğunu tapmaq və bu tələbi aradan qaldırmaqdır, iki dalan arasından güclüsünü seçmək deyil.

İnsanların hələ də axtardığı müqayisə yanlış olandır

2000-ci illərdə yazılmış cavablar DES-i üçqat DES ilə müqayisə edir və üçqat DES-in daha güclü olduğu qənaətinə gəlir. O vaxt bu, ağlabatan idi, indi isə faydasızdır, çünki hər ikisi yeni trafikin qorunması üçün istifadədən çıxarılıb və onların arasında seçim iki dalan arasında seçimdir.

NIST 2005-ci ildə DES standartını ləğv etdi və TDEA tövsiyəsi 2024-cü ilin yanvarında, TDEA-nın yeni kriptoqrafik qorunmaya tətbiqi üçün son tarix 2023-cü ilin sonunda bitdikdən sonra geri götürüldü. Bu tarixlər keçidi təsvir edir, reytinqi deyil. Qısa sessiya və ya az dəyərli mesaj məsələni yenidən açmır, çünki alqoritmin statusu açarın nə qədər istifadə olunduğundan asılı deyil.

Açarın yenilənməsi ayrı bir nəzarətdir və təsdiqi bərpa etmir.

Razılaşmanı məlumat yolundan ayırın

VPN protokolları qorunma barədə birdən çox yerdə razılaşır. Nəzarət kanalı bir dəst istifadə edərkən daşınan məlumat başqa dəst istifadə edə bilər və təklif siyahısı yalnız qarşı tərəfin nəyi qəbul etməyə hazır olduğunu bildirir. Təklifi deyil, razılaşdırılmış nəticəni oxuyun. Bu fərq geniş yayılmış çaşqınlığı izah edir: şlüz hələ də köhnə alqoritmi siyahıda göstərir və operator onun istifadədə olduğunu güman edir, halbuki o, təklif oluna və heç vaxt seçilməyə bilər, ya da yalnız bir köhnə qarşı tərəf üçün seçilə bilər.

IPsec şlüzündə müvafiq çıxış təhlükəsizlik assosiasiyasıdır; OpenVPN üçün isə bu, bağlantı jurnalındakı şifrə və TLS parametrləridir. Hər ikisi nəyin seçildiyini bildirir. Heç biri konfiqurasiya faylında hələ də qalan köhnə seçimlə sübut olunmur.

Razılaşdırılmış nəticəni görə bilmirsinizsə, şifrənin istifadədən çıxarıldığını iddia edə bilməzsiniz.

Hələ də onu tələb edən komponenti tapın

Köhnə tələblər üç yerdən gəlir: daha yaxşısını təklif etməyən köhnə müştəri, alqoritmi hələ də siyahıda saxlayan şlüz siyasəti və yalnız köhnə protokolu danışan cihaz. Hər birinin fərqli həlli var. Uyğunluq provayderini aktivləşdirməzdən əvvəl məhdudiyyətin sahibindən hansının olduğunu soruşun, çünki onun aktivləşdirilməsi qoşulan hər qarşı tərəfə təsir edir.

Hələ dəyişdirilə bilməyən tək bir cihaz üçün qarşısına dəstəklənən şlüz qoyun və o sərhədin nə daşıdığını məhdudlaşdırın. Bu, köhnə şifrəni saxlayır, lakin hər uzaq istifadəçinin onu miras almasına səbəb olmur.

Məhdudlaşdırma yamaq deyil və köhnə hostu etibarlı etmir.

Artıq malik olduğunuz yoxlamalarla miqrasiya edin

Miqrasiya nəzərdə tutulan qarşı tərəflər dəstəklənən profil ilə qoşulduqda, razılaşdırılmış dəst gözlədiyiniz dəst olduqda və tətbiq işlədikdə bitmiş sayılır. Server şəxsiyyətinin yoxlanmasını və hesab yoxlamalarını bütün boyu yerində saxlayın; şifrə dəyişikliyi onları zəiflətmək üçün səbəb deyil.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Müştəri və şlüz versiyalarını razılaşdırılmış nəticənin yanında qeyd edin ki, növbəti baxış nəyin həqiqətən dəyişdiyini müəyyən edə bilsin.

Köhnə icazəni onun sahibi vasitəsilə ləğv edin, sonra yalnız istifadədən çıxarılmış alqoritmi təklif edən qarşı tərəfin artıq rədd edildiyini təsdiqləyin. Köhnə seçimi aktiv saxlayan miqrasiya baş verməmiş miqrasiyadır. Rədd sübutunu dəyişiklik qeydi ilə birlikdə saxlayın, çünki növbəti audit bunu necə bildiyinizi soruşacaq və silinmiş konfiqurasiya sətri qeydə alınmış rəddən zəif sübutdur. Sessiya hələ təzə ikən test tarixini və qarşı tərəfin kimliyini həmin qeydə əlavə edin.

Tarixi məlumatlar başqa bir problemdir

İllər əvvəl qorunmuş arxivi oxumaq qanuni olaraq köhnə alqoritmi tələb edə bilər. Bu, mövcud materialın şifrəsinin açılmasıdır və yeni trafikin qorunması ilə eyni vəzifə deyil.

Bu cür işi sənədləşdirilmiş məqsədi və onu kimin icra edə biləcəyinə dair qısa siyahısı olan təcrid olunmuş hostda saxlayın.

Bu fərq vacibdir, çünki istifadədən çıxarılmış şifrəni əlçatan saxlamağın yeganə dürüst səbəbi budur. Bu, məhdud əhatəli aləti əsaslandırır, heç vaxt ictimai VPN profilində daimi bir sətri deyil.