Pam nad yw rhif allwedd mwy yn gwneud VPN yn fwy diogel

Mae'r hysbyseb yn dweud 256 did, mae'r cynnyrch arall yn dweud 128 did, ac mae'r casgliad yn ymddangos yn amlwg nes i chi sylwi bod y rhifau'n disgrifio pethau gwahanol. Nid yw allwedd seiffr gymesur, allwedd gyhoeddus tystysgrif a pharamedr cyfnewid allweddi yn cael eu mesur ar un raddfa. Nid yw'r un ohonynt yn cynnwys a yw'r cleient wedi dilysu'r gweinydd o gwbl. Mae'r rhif yn wybodaeth go iawn, ac mae'n llawer culach na'r hyn y mae'r marchnata o'i gwmpas yn ei awgrymu.

Gofynnwch pa allwedd sy'n cael ei chyfrif a beth mae'n ei warchod cyn cymharu unrhyw beth.

Tri allwedd â thair swydd

Mae'r seiffr data yn amgryptio llwyth y twnnel, ac mae ei allwedd yn cael ei deillio'n newydd ar gyfer y sesiwn. Mae allwedd gyhoeddus y dystysgrif yn profi hunaniaeth pen terfyn yn ystod dilysu. Mae'r cam cyfnewid allweddi, fel arfer amrywiad Diffie-Hellman dros dro, yn sefydlu cyfrinach a rennir na all y naill ochr na'r llall ei hail-greu wedyn. Mae gan bob un ei dybiaethau cryfder a'i gonfensiynau maint ei hun.

Dyna pam na ellir rhestru 256 wrth 2048 wrth 32 yn ôl maint; atebion i gwestiynau gwahanol ydynt.

Hyd yn oed o fewn un rôl, dim ond mewn perthynas â'r teulu algorithm a ddefnyddir y mae'r rhif yn dweud rhywbeth.

Lle mae'r rhif yn helpu, a lle mae'n stopio

O fewn un algorithm, mae allwedd fwy yn codi cost chwiliad grym carthion, ac mae canllawiau cyhoeddedig yn gosod isafswm ar gyfer allweddi tystysgrif wrth i bŵer cyfrifo newid. Mae hwnnw'n gymhariaeth ddilys ac yn un gul: mae AES-128 ac AES-256 ill dau yn gwrthsefyll ymosodiad uniongyrchol ag ymylon llydan, felly anaml yw'r gwahaniaeth yn ffactor penderfynol yn ymarferol.

Y tu allan i'r gymhariaeth honno, nid yw'r rhif yn rhagweld dim am gamgymeriadau cyfluniad, dilysu tystysgrifau na fersiwn protocol.

Darllenwch y swît cyfan a drafodwyd

Yr hyn y mae cysylltiad yn ei ddefnyddio mewn gwirionedd yw swît: modd seiffr, adeiladwaith cyfanrwydd neu amgryptio dilysedig, grŵp cyfnewid allweddi a dull dilysu. Mae modd AEAD modern gyda chyd-ddiadell briodol yn gynnig gwahanol i fodd hŷn wedi'i baru â MAC ar wahân, hyd yn oed pan fo maint yr allwedd yn union yr un fath.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Darllenwch y canlyniad a drafodwyd yn hytrach na'r uchafswm a ffurfweddwyd. Mae cleient sy'n cynnig swît cryf yn dal i gysylltu'n wan os yw'r gweinydd yn dewis yr opsiwn gwannach ac mae'r proffil yn caniatáu hynny. Os yw perfformiad yn destun pryder, mesurwch ef ar y ddyfais a'r llwybr dan sylw, oherwydd mae maint allwedd yn rhagfynegydd gwael o drwgelwng unwaith y daw cyflymu caledwedd a maint pecyn i mewn i'r darlun.

Y rhannau na fesura rhif byth

Cynnal a chadw meddalwedd yw'r esgeulustod cyntaf. Mae twnnel a adeiladwyd ar lyfrgell sydd wedi rhoi'r gorau i dderbyn cywiriadau yn wannach nag y mae ei faint allwedd yn ei awgrymu, ac nid oes unrhyw werth cyfluniad yn trwsio hynny. Ymddygiad y gweithredwr yw'r ail: mae cofnodion cysylltiad, data cyfrif a thrin cymorth yn gorwedd y tu allan i'r cryptograffeg yn gyfan gwbl. Nid yw gwasanaeth sy'n cadw mwy nag yr oeddech yn ei ddisgwyl yn dod yn fwy diogel trwy allwedd hirach.

Dilysu'r cymar yw'r trydydd a'r mwyaf canlyniadol. Mae gan gleient sy'n derbyn unrhyw dystysgrif seiffr cryf wedi'i lapio o amgylch cymar anawdurdodedig, sy'n waeth na seiffr symol gyda dilysu cywir. Gwiriwch y tri hyn cyn y rhif, a bydd y rhif yn cymryd ei le priodol.