DES срещу 3DES във VPN: защо и двете са грешен ъпгрейд

И двете шифри са остарели и нито една от тях не е правилната цел за нов трафик. Полезното сравнение не е DES срещу 3DES; то е пенсиониран алгоритъм срещу поддържан такъв. Ако даден шлюз все още предлага някоя от тях, задачата е да откриете какво я изисква и да премахнете това изискване, а не да изберете по-силната от две задънени улици.

Сравнението, което хората все още търсят, е грешното

Отговорите, писани през 2000-те, сравняват DES с тройния DES и заключават, че тройният DES е по-силен. Тогава това беше разумно, а сега е безполезно, защото и двете са пенсионирани за защита на нов трафик и изборът между тях е избор между две задънени улици.

NIST оттегли стандарта DES през 2005 г., а препоръката му TDEA беше оттеглена през януари 2024 г., след като в края на 2023 г. изтече крайният срок за прилагане на TDEA към нова криптографска защита. Тези дати описват преход, а не класация. Кратка сесия или съобщение с ниска стойност не отваря отново въпроса, защото статусът на алгоритъма не зависи от това колко дълго се използва ключът.

Подновяването на ключа е отделна мярка за контрол и не възстановява одобрението.

Отделете договарянето от пътя на данните

VPN протоколите договарят защита на повече от едно място. Контролният канал може да използва един набор, докато пренасяните данни използват друг, а списъкът с предложения казва само какво е готов да приеме отсрещният партньор. Четете договорения резултат, а не предложението. Това разграничение обяснява често срещано объркване: шлюзът все още изброява стар алгоритъм и операторът предполага, че той се използва, когато той може да се предлага и никога да не се избира, или да се избира само за един стар партньор.

На IPsec шлюз съответният изход е асоциацията за сигурност; при OpenVPN това са настройките за шифъра и TLS в журнала на връзката. И двете показват какво е избрано. Нито едно от тях не се доказва от стара опция, която все още съществува в конфигурационен файл.

Ако не виждате договорения резултат, не можете да твърдите, че шифърът е пенсиониран.

Открийте компонента, който все още го изисква

Изискванията за наследени системи идват от три места: стар клиент, който не предлага нищо по-добро; политика на шлюза, която все още изброява алгоритъма; и устройство, което говори само стария протокол. Всяко има различно решение. Попитайте собственика на ограничението кое от трите е, преди да включите доставчик за съвместимост, защото включването му засяга всеки свързващ се партньор.

За едно устройство, което още не може да бъде заменено, поставете пред него поддържан шлюз и ограничете какво преминава през тази граница. Това овладява стария шифър, без да го наследява всеки отдалечен потребител.

Овладяването не е кръпка и не прави стария хост надежден.

Мигрирайте с проверките, които вече имате

Миграцията е завършена, когато предвидените партньори се свързват с поддържания профил, договореният набор е този, който сте очаквали, и приложението работи. Поддържайте проверката на идентичността на сървъра и проверките на акаунта през цялото време; промяната на шифъра не е причина да ги разхлабите.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Запишете версиите на клиента и шлюза до договорения резултат, за да може следващият преглед да покаже какво действително се е променило.

Оттеглете старото разрешение чрез неговия собственик, после потвърдете, че партньор, който предлага само пенсионирания алгоритъм, вече се отказва. Миграция, която оставя старата опция включена, е миграция, която не се е случила. Пазете доказателството за отказа заедно със записа за промяната, защото следващият одит ще попита откъде знаете, а премахнат конфигурационен ред е по-слабо доказателство от регистриран отказ. Добавете датата на теста и идентичността на партньора в този запис, докато сесията е още прясна.

Историческите данни са друг проблем

Четенето на архив, защитен преди години, може законно да изисква стария алгоритъм. Това е дешифриране на съществуващ материал и не е същата задача като защитата на нов трафик.

Дръжте такава работа на изолиран хост с документирана цел и кратък списък кой може да я изпълнява.

Разграничението е важно, защото това е единствената честна причина да държите пенсиониран шифър наличен. То оправдава ограничен инструмент, никога постоянен ред в публичен VPN профил.