Grŵp DH a rennir, cyfrinachau newydd: pam mae’r ymosodiad yn mynd yn rhatach

Mae paramedrau’r grŵp yn gyhoeddus o fwriad, a’r cyhoeddusrwydd hwnnw’n union sy’n eu gwneud yn hawdd i’w hanwybyddu. Mewn Diffie-Hellman maes meidraidd, rhennir y modwlws a’r generadur, ond nid yw’r esbonyddion preifat na’r allweddi sesiwn sy’n deillio ohonynt yn cael eu rhannu. Mae cam drud ymosodiad gogryngryd maes rhifau yn dibynnu ar y grŵp yn hytrach nag ar un cyfnewid, felly daw un grŵp gwan a ddefnyddir ym mhobman yn atebolrwydd a rennir. Mae dweud bod y paramedrau’n gyhoeddus yn gywir ac yn amherthnasol, oherwydd mai’r gost a ailddefnyddir yw cost ymosod ar y grŵp hwnnw.

Nid hanner cyhoeddus yw’r hanner bregus, a dyna’r trap

Mae’r hanner-ddadl arferol yn dweud bod y paramedrau wedi’u cyhoeddi mewn safon, felly mae ymosodwr yn eu gwybod yn barod ac ni fyddai eu cuddio’n newid dim. Mae’r ddau osodiad yn wir ac nid yw’r naill yn dilyn o’r llall. Mae grŵp diffygol a anfonir yn gyhoeddus, ac mae grŵp preifat a gynhyrchwyd gennych yr wythnos diwethaf hefyd yn weladwy i unrhyw un sy’n cwblhau’r ysgydwad llaw. Nid cyfrinachedd oedd y rheolaeth erioed; cryfder a dilysu yw’r rheolaeth.

Yr hyn sy’n newid yw faint o leoedd sy’n rhannu’r un gwendid. Mae un sefydliad sy’n cynhyrchu ei grŵp 2048-bit ei hun yn talu ei gost ymosod ei hun, tra bo rhagosodiad protocol a ddewisir gan filiynau yn amorteiddio un gost ar eu traws i gyd. Dyna’r ystyr nad yw grŵp anghyffredin yn well yn awtomatig. Nid yw grŵp anarferol sy’n rhy fach yn ddim ond cyfrinach a rennir yn llai gyda llai o lygaid arno.

Mae dilysu yr un mor bwysig â maint. Gall cymar sy’n anfon modwlws â ffactorau bach, neu un nad yw o’r siâp y mae’r protocol yn ei ddisgwyl, ollwng gwybodaeth am yr esbonydd preifat hyd yn oed pan fo’r hyd mewn bitiau’n edrych yn barchus. Mae llyfrgelloedd sy’n gwrthod paramedrau camffurfiedig ar y ffordd i mewn yn gwneud gwaith go iawn, a dyna pam mae dosrannu paramedrau â llaw yn lle gwael i arbed ymdrech.

Beth mae’r rhaggyfrifo yn ei brynu i ymosodwr mewn gwirionedd

Mae gan ogryngryd maes rhifau gam sy’n dibynnu ar y rhif cysefin yn unig, ac mae ei allbwn yn ailddefnyddiadwy yn erbyn pob cyfnewid sy’n defnyddio’r rhif cysefin hwnnw. Dyna’r mecanwaith cyfan y tu ôl i’r pryder hanesyddol: telir y rhan ddrud unwaith, ac mae cost ymylol pob sesiwn bellach yn gostwng. Mae esbonyddion newydd yn dal i amddiffyn pob cyfnewid unigol rhag arsylwyr goddefol, cyhyd â bod y grŵp yn ddigon mawr i wneud y gogryngryd yn amhosibl. Mae’r ddau ddatganiad yn gydnaws, ac mae’r rhan fwyaf o ddadleuon ar y pwnc hwn yn codi o ddewis un a gollwng y llall.

Dangosodd papur Logjam 2015 ddiraddiad i Diffie-Hellman 512-bit o radd allforio ac amcangyfrifodd beth fyddai’n ei gostio i ymosod ar grwpiau mwy a ailddefnyddir yn eang ag adnoddau sylweddol. Roedd y ddangosiad yn goncrit, amcangyfrifon oedd yr amcangyfrifon, ac nid oedd y naill na’r llall yn dystiolaeth bod sesiwn VPN benodol wedi’i dadgryptio.

Cyfeiriwch at y papur am y mecanwaith ac am y diraddiad a ddangoswyd, nid fel mesuriad o’ch defnyddiad. Mae ystadegau hen am faint o weinyddion a rannai grŵp diffygol yn disgrifio rhyngrwyd y flwyddyn honno, nid rhwydwaith y gallwch ei harchwilio heddiw. Yr hyn sy’n werth ei gario drosodd yw’r cwestiwn: a yw’ch dyfeisiau’n dal i drafod grŵp sy’n fach neu’n wan ei ddilysu?

Nid yw safonedig yr un peth â gwan

Mae RFC 7919 yn diffinio grwpiau maes meidraidd enwog fel bod y ddau ben yn cytuno ar grŵp drwy adnabyddwr ac yn cymhwyso polisi cyson. Mae bod yn safonedig yn fantais, oherwydd mae’n dileu amwysedd trafod ac yn gadael i weithrediad wrthod meintiau nas cefnogir. Nid yw grŵp enwog yn wan ond pan fo ei faint yn is na’r polisi rydych yn honni ei ddilyn, nid oherwydd ei fod yn ymddangos mewn dogfen. Mae’r un rhesymeg yn berthnasol i grwpiau cromlin eliptig, sydd â strwythur gwahanol a dulliau methu gwahanol.

Cadwch y cystrawennau ar wahân wrth resymu amdanynt. Nid yw casgliad am Diffie-Hellman maes meidraidd yn dweud dim am X25519, ac nid yw casgliad am grŵp MODP 1024-bit yn dweud dim am un 3072-bit. Mae polisi cryfder fesul mecanwaith, fesul maint a fesul fersiwn protocol, a dyna pam nad yw’r ymadrodd cryptograffeg gref yn ddatganiad adolygadwy.

Awdentigeiddio yw’r hanner arall, ac nid yw’n cymryd lle. Mae grŵp cryf heb wirio cymar yn gadael ymosodwr yn y canol, ac ni all tystysgrif ddilys achub cyfnewid 768-bit. Adolygwch hwy fel dwy linell annibynnol, yna cadarnhewch fod y ddwy’n cael eu trafod mewn gwirionedd.

Darllenwch y grŵp a drafodwyd ar gysylltiad go iawn

Darllenwch y grŵp a drafodwyd o’r ddyfais yn hytrach nag o’r templed ffurfweddu. Mae templedi’n disgrifio bwriad, a’r gwerth diddorol yw’r un y cytunodd y ddau gymar arno yn ystod yr ysgydwad llaw diwethaf. Ar ben IPsec mae allbwn statws fel arfer yn argraffu’r cynnig a ddewiswyd, gan gynnwys y grŵp MODP.

Cofnoda’r llinell honno cyn ac ar ôl newid polisi, a chadw’r ddau yn y cofnod newid. Y gymhariaeth yw’r dystiolaeth.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Os yw’r statws yn dal i ddangos yr hen grŵp ar ôl y newid, ni wnaeth y cysylltiad ail-drafod ac ni phrofodd y golygiad ffurfweddu ddim. Ailgychwynnwch y cymar neu gliriwch y cymdeithasiad diogelwch, yna darllenwch y statws eto. Bydd polisi a weithredir ar gysylltiadau newydd yn unig yn gadael twneli hirhoedlog ar yr hen baramedrau cyhyd ag y byddant i fyny.

Gwiriwch y grŵp a hunaniaeth y cymar ar wahân

Gwahanwch yr hyn y mae’r grŵp yn ei amddiffyn oddi wrth pwy sydd ar y pen arall. Cofnodwch y dull cyfnewid allweddi, maint y grŵp a’r dull awdentigeiddio fel tri maes, oherwydd maent yn methu’n annibynnol. Nid yw twnnel a drafododd grŵp 3072-bit ond sy’n derbyn unrhyw dystysgrif yr un risg â’r un sy’n pinio cymar ac yn defnyddio grŵp 2048-bit.

Ysgrifennwch y meini prawf derbyn cyn i’r adolygiad ddechrau, fel bod y canlyniad yn gymhariaeth yn hytrach na barn. Mae maint grŵp lleiaf fesul fersiwn protocol, rhestr caniatáu grwpiau enwog a gwirio cymar gorfodol yn ddigon i wneud y penderfyniad yn fecanyddol. Amwysedd yn y rhestr honno sy’n troi adolygiad yn ddadl, ac ni wneir iawn am ddadleuon. Yna’r allbwn yw rhestr o benaethau sy’n methu rheol a nodwyd.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Caewch y cylch drwy ail-ddarllen y gwerthoedd a drafodwyd ar ôl y cywiriad. Nid yw ffeil ffurfweddu gydymffurfiol yn dystiolaeth bod twnnel wedi’i chymryd. Yr allbwn statws ac un ysgydwad llaw newydd yw’r dystiolaeth, ac mae eu casglu’n cymryd llai o amser na’r cyfarfod ynghylch a oes eu hangen.