Dopředné utajení pro VPN: co může ukradený klíč odemknout

Nahrajte dnes šifrovaný tunel, příští rok ukradněte dlouhodobý soukromý klíč serveru a zkuste nahrávku dešifrovat. Dopředné utajení je vlastnost, která říká, že ukradený klíč sám o sobě nebude stačit. Je to tvrzení o zaznamenaných relacích a konkrétních tajemstvích, ne obecný slib, že tunel byl bezpečný. Správné vymezení rozsahu dělá tento termín užitečným.

Otázka je o nahrávce, ne o živé relaci

Dlouhodobý klíč identifikuje protistranu a podepisuje handshake. Relační klíče šifrují skutečný provoz a v návrhu s dopředným utajením se odvozují z čerstvého materiálu pro výměnu klíčů, který obě strany vygenerují a později zahodí. Útočník, který má jen dlouhodobý klíč, nemůže tyto zahozené hodnoty zrekonstruovat. Útočník, který má živý stav relace, stále může, a proto se záruka týká minulosti, nikoli přítomnosti.

Tvrzení je podmíněné: platí jen tehdy, pokud efemérní tajemství skutečně byla zničena a protokol je ten, který si myslíte. Smíšené nasazení ho může splnit na jednom tunelu a selhat na jiném.

Jedno tajemství nesmí znovu sestavit ostatní

Zkontrolujte vyjednaný režim, ne marketingovou stránku. Výstup handshake uvádí výměnu klíčů a verzi protokolu.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Souhrn s_client ukazuje verzi TLS a skupinu pro výměnu klíčů a efemérní skupina je viditelným znakem dohody o klíčích s dopředným utajením. Výpis swanctl ukazuje asociace IKE a CHILD s jejich časovači obnovy klíčů, takže vidíte, zda nasazení obnovuje klíče podle plánu. Statická výměna klíčů RSA nebo starý režim kompatibility ztrácí tuto vlastnost bez ohledu na název šifry. Zapište si režim, který jste pozorovali, ne ten, který inzeroval dodavatel.

Obnova klíčů není automaticky dopředné utajení

Jak často tunel obnovuje klíče, je oddělená otázka od toho, jak se každý klíč odvozuje. Návrh, který znovu generuje klíče z dlouhodobého tajemství, může obnovovat klíče každou minutu a přesto v testu selhat, protože pozdější kompromitace je všechny zrekonstruuje. Naopak protokol se vzácnou obnovou může stále mít dopředné utajení, když je každá výměna nezávislá. Čtěte odvození, ne interval, a nepleťte si krátký časovač opětovného připojení s kryptografickou zárukou.

Stejný zmatek se objevuje u názvů šifer: moderní šifra nic neříká o tom, jak se její klíč dostal.

Co zůstává viditelné po záruce

Dopředné utajení chrání otevřený text zaznamenaných relací před budoucí kompromitací klíčů a nedělá nic proti útočníkovi, který čte živý provoz na kompromitovaném koncovém zařízení. Neodstraňuje z nahrávky cílové adresy, časování ani objem a neomezuje, jak dlouho operátor uchovává připojovací logy. Také nepromění kompromitovaného klienta v důvěryhodného, protože útočník už sedí tam, kde obsah existuje v otevřené podobě.

Když poskytovatel tvrdí dopředné utajení, zeptejte se, které dlouhodobé tajemství se považuje za ukradené a která relační tajemství zůstávají nedostupná. Pokud na tyto dvě otázky existují jasné odpovědi, tvrzení něco znamená.