DES yn erbyn 3DES mewn VPN: pam mae'r ddau yn uwchraddiad anghywir

Mae'r ddau seiffr wedi mynd yn hen, ac nid yw'r naill na'r llall yn darged cywir ar gyfer traffig newydd. Nid DES yn erbyn 3DES yw'r gymhariaeth ddefnyddiol; algorithm a ddisodlwyd yn erbyn un a gynhelir yw hi. Os yw porth yn dal i gynnig y naill neu'r llall, y gwaith yw canfod beth sy'n ei fynnu a dileu'r gofyniad hwnnw, nid dewis y cryfaf o ddau ddiwedd marw.

Mae'r gymhariaeth y mae pobl yn dal i chwilio amdani yn anghywir

Mae atebion a ysgrifennwyd yn y 2000au yn cymharu DES â DES triphlyg ac yn dod i'r casgliad bod DES triphlyg yn gryfach. Roedd hynny'n rhesymol bryd hynny ac mae'n ddiwerth nawr, oherwydd bod y ddau wedi'u disodli ar gyfer diogelu traffig newydd ac mae'r dewis rhyngddynt yn ddewis rhwng dau ddiwedd marw.

Tynnodd NIST y safon DES yn ôl yn 2005, a thynnwyd ei argymhelliad TDEA yn ôl ym mis Ionawr 2024 ar ôl i'r dyddiad cau ar gyfer cymhwyso TDEA at ddiogelwch cryptograffig newydd ddod i ben ar ddiwedd 2023. Mae'r dyddiadau hynny'n disgrifio pontio, nid graddio. Nid yw sesiwn fer na neges o werth isel yn ailagor y cwestiwn, oherwydd nid yw statws yr algorithm yn dibynnu ar ba mor hir y defnyddir yr allwedd.

Mae adnewyddu allwedd yn rheolaeth ar wahân, ac nid yw'n adfer cymeradwyaeth.

Gwahanwch y trafodaethau oddi wrth lwybr y data

Mae protocolau VPN yn trafod diogelwch mewn mwy nag un man. Gall sianel reoli ddefnyddio un set tra bod y data a gludir yn defnyddio un arall, ac nid yw rhestr cynigion yn dweud dim ond yr hyn y mae partner yn barod i'w dderbyn. Darllenwch y canlyniad a drafodwyd, nid y cynnig. Mae'r gwahaniaeth hwnnw'n esbonio dryswch cyffredin: mae porth yn dal i restru algorithm hen ac mae gweithredwr yn tybio ei fod yn cael ei ddefnyddio, pan all fod yn cael ei gynnig heb ei ddewis byth, neu'n cael ei ddewis ar gyfer un partner hen yn unig.

Ar borth IPsec, yr allbwn perthnasol yw'r gymdeithas ddiogelwch; ar OpenVPN y seiffr a'r gosodiadau TLS yn y cofnod cysylltu ydynt. Mae'r ddau yn dweud beth a ddewiswyd. Nid yw'r naill na'r llall yn cael ei brofi gan opsiwn hen sy'n dal i fodoli mewn ffeil ffurfweddu.

Os na allwch weld y canlyniad a drafodwyd, ni allwch hawlio bod y seiffr wedi'i ddisodli.

Dewch o hyd i'r gydran sy'n dal i'w fynnu

Mae gofynion etifeddol yn dod o dri lle: cleient hen nad yw'n cynnig unrhyw beth gwell, polisi porth sy'n dal i restru'r algorithm, a dyfais nad yw'n siarad ond yr hen brotocol. Mae gan bob un atgyweiriad gwahanol. Gofynnwch i berchennog y cyfyngiad pa un ydyw cyn galluogi darparwr cydnawsedd, oherwydd mae ei alluogi yn effeithio ar bob partner sy'n cysylltu.

Ar gyfer un ddyfais na ellir ei disodli eto, rhowch borth a gynhelir o'i blaen a chyfyngwch yr hyn y mae'r ffin honno'n ei gludo. Mae hynny'n cynnwys yr hen seiffr heb orfodi pob defnyddiwr o bell i'w etifeddu.

Nid yw cynnwys yn glyt, ac nid yw'n gwneud yr hen westeiwr yn ddibynadwy.

Mudwch gyda'r gwiriadau sydd gennych yn barod

Mae mudo wedi gorffen pan fydd y partneriaid a fwriadwyd yn cysylltu â'r proffil a gynhelir, y set a drafodwyd yw'r un roeddech yn ei disgwyl, ac mae'r cymhwysiad yn gweithio. Cadwch y gwirio hunaniaeth gweinydd a'r gwiriadau cyfrif yn eu lle drwy'r amser; nid yw newid seiffr yn rheswm i'w llacio.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Cofnodwch fersiynau'r cleient a'r porth wrth ymyl y canlyniad a drafodwyd, fel y gall yr adolygiad nesaf ddweud beth a newidiodd mewn gwirionedd.

Tynnwch yr hen ganiatâd drwy ei berchennog, yna cadarnhewch fod partner sy'n cynnig yr algorithm a ddisodlwyd yn unig bellach yn cael ei wrthod. Mae mudo sy'n gadael yr hen opsiwn yn galluogi yn fudo nad yw wedi digwydd. Cadwch y dystiolaeth o'r gwrthod gyda'r cofnod newid, oherwydd bydd y prawf nesaf yn gofyn sut rydych yn gwybod, ac mae llinell ffurfweddu a dynnwyd yn dystiolaeth wannach na gwrthodiad wedi'i gofnodi. Ychwanegwch ddyddiad y prawf a hunaniaeth y partner at y cofnod hwnnw tra bo'r sesiwn yn dal yn ffres.

Mae data hanesyddol yn broblem wahanol

Gall darllen archif a warchodwyd flynyddoedd yn ôl fod angen yr hen algorithm yn gyfreithlon. Dadgryptio deunydd sy'n bodoli'n barod yw hynny, ac nid yw'r un dasg â diogelu traffig newydd.

Cadwch waith o'r fath ar westeiwr ynysig ag arfer a gofnodwyd a rhestr fer o bwy all ei redeg.

Mae'r gwahaniaeth yn bwysig oherwydd mai dyna'r unig reswm gonest dros gadw seiffr a ddisodlwyd ar gael. Mae'n cyfiawnhau teclyn cyfyngedig, byth yn llinell barhaol mewn proffil VPN cyhoeddus.