Secret avançat per a una VPN: què pot desxifrar una clau robada

Enregistreu un túnel xifrat avui, robeu l'any vinent la clau privada de llarg termini del servidor i proveu de desxifrar l'enregistrament. El secret avançat és la propietat que diu que la clau robada no serà suficient per si sola. És una afirmació sobre sessions enregistrades i secrets concrets, no una promesa general que el túnel fos segur. Encertar l'abast és el que fa útil el terme.

La pregunta tracta d'un enregistrament, no de la sessió en directe

La clau de llarg termini identifica l'extrem i signa l'apretada de mans. Les claus de sessió xifren el trànsit real, i en un disseny de secret avançat es deriven de material fresc d'intercanvi de claus que tots dos costats generen i després descarten. Un atacant que només té la clau de llarg termini no pot reconstruir aquests valors descartats. Un atacant que té l'estat de sessió en directe encara pot, i per això la garantia tracta del passat i no del present.

L'afirmació és condicional: només es compleix si els secrets efímers realment es van destruir i el protocol és el que us penseu. Un desplegament mixt pot complir-ho en un túnel i fallar en un altre.

Un secret no ha de reconstruir els altres

Comproveu el mode negociat en lloc de la pàgina de màrqueting. La sortida de l'apretada de mans indica l'intercanvi de claus i la versió del protocol.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

El resum de s_client mostra la versió de TLS i el grup d'intercanvi de claus, i un grup efímer és el senyal visible d'un acord de claus amb secret avançat. El llistat de swanctl mostra les associacions IKE i CHILD amb els seus temporitzadors de renovació de claus, així que podeu veure si el desplegament renova les claus segons un calendari. Un intercanvi de claus RSA estàtic, o un mode de compatibilitat antic, perd la propietat sigui quin sigui el nom del xifratge. Anoteu el mode que heu observat, no el que el proveïdor anunciava.

Renovar les claus no és automàticament secret avançat

Amb quina freqüència renova les claus un túnel és una qüestió separada de com es deriva cada clau. Un disseny que regenera claus a partir d'un secret de llarg termini pot renovar-les cada minut i encara fallar la prova, perquè una compromissió posterior les reconstrueix totes. Al contrari, un protocol amb renovació poc freqüent pot seguir tenint secret avançat quan cada intercanvi és independent. Llegiu la derivació, no l'interval, i no confongueu un temporitzador curt de reconnexió amb una garantia criptogràfica.

La mateixa confusió apareix amb els noms de xifratge: un xifratge modern no diu res sobre com hi va arribar la seva clau.

Què queda visible després de la garantia

El secret avançat protegeix el text pla de les sessions enregistrades d'una compromissió futura de claus, i no fa res contra un atacant que llegeix el trànsit en directe en un extrem compromès. No elimina de l'enregistrament les adreces de destinació, el moment ni el volum, i no limita quant de temps un operador guarda els registres de connexió. Tampoc converteix un client compromès en un de fiable, perquè l'atacant ja és on el contingut existeix en clar.

Quan un proveïdor afirma tenir secret avançat, pregunteu quin secret de llarg termini es considera robat i quins secrets de sessió continuen indisponibles. Si aquestes dues preguntes tenen respostes clares, l'afirmació vol dir alguna cosa.