Aussagen zur VPN-Verschlüsselung: Was die Dokumentation sagen muss

Betrachten Sie die große Zahl neben einem Algorithmusnamen und fragen Sie, was sie tatsächlich misst. Sie sagt nicht, welche Verbindung geschützt ist, welches Protokoll den Schutz liefert oder welche Einstellungen Ihr Client unterstützt. Eine Seite, die ihre Aussage nicht an eines davon binden kann, ist Werbung und keine Dokumentation. Die folgenden Prüfungen sind eine Lesereihenfolge für welche Zusammenfassung auch immer Sie erhalten haben, und die erste Aussage, die Sie nicht an eine bestimmte Verbindung knüpfen können, ist der Punkt, an dem Sie aufhören sollten.

Bestimmen Sie, welche Verbindung die Aussage abdeckt

Eine Produktseite kann Tunnelverschlüsselung, HTTPS zum Kontoportal und die Verschlüsselung gespeicherter Daten in einem einzigen Absatz behandeln. Das sind verschiedene Wege und verschiedene Speichersysteme, eine Eigenschaft des einen sagt also nichts über die anderen. Entscheiden Sie, von welchem der drei der Satz handelt, bevor Sie ihn mit einem Wettbewerber vergleichen. Dasselbe Wort, Verschlüsselung, erscheint in allen drei Zusammenhängen und bedeutet jedes Mal etwas anderes.

Für den Tunnel selbst suchen Sie ein dokumentiertes Protokoll und eine dokumentierte Menge unterstützter Sicherheitseinstellungen. Diese drei Bezeichnungen sind nicht austauschbar: Eine Standardsuite wird ausgeliefert, ohne dass Sie sie wählen, ein optionaler Modus gilt nur, wenn das Profil ihn auswählt, und ein ausgehandeltes Ergebnis ist das, worauf sich beide Seiten beim Verbindungsaufbau geeinigt haben. Ein Anbieter, der sie verwischt, hat Ihnen weniger gesagt, als es scheint.

Prüfen Sie das Protokoll und die Suite, die es zulässt

Gehen Sie vom Clientprofil aus und nicht von einer Vergleichsgrafik. Das Profil benennt das Protokoll, und das Protokoll entscheidet, welche Suiten überhaupt möglich sind, wie die beiden häufigen Fälle zeigen.

Eine IKEv2-Vorschlagsliste ist ein Menü, aus dem das Gateway wählt, sodass die Suite, die Sie erhalten, zwischen zwei Gateways mit identischen Client-Einstellungen abweichen kann. WireGuard hat kein solches Menü, was seine Aussage leichter überprüfbar und enger beschreibbar macht. Keine der beiden Anordnungen ist für sich stärker; der Punkt ist, dass die Dokumentation sagen muss, welche gemeint ist.

Ein Chiffrename allein lässt auch die Authentifizierung aus, die Schlüsseletablierung, die Offenlegung von Metadaten und die Aufbewahrung. Moderne Konstruktionen verbinden Verschlüsselung und Integrität in einer Suite, ältere trennen sie, sodass die Angabe eines einzigen Algorithmusnamens verbergen kann, welche Eigenschaft Sie tatsächlich bekommen. Verlangen Sie die Aushandlungsrichtlinie schriftlich, wenn die Seite sie nicht nennt.

Prüfen Sie die Partnerauthentifizierung und den Aktualisierungsstand

Die Authentifizierung des Gegenübers gehört zur Aussage, auch wenn der Marketingtext sie überspringt. Starke Verschlüsselung zu einem nicht verifizierten Empfänger ist nicht das Ergebnis, das jemand beabsichtigt hat, und ein Tunnel, der Ihnen nicht sagen kann, wer geantwortet hat, schützt weniger, als es scheint. Achten Sie darauf, wie der Client den Server validiert: eine Zertifikatskette, ein festgelegter Schlüssel oder ein vorab geteiltes Geheimnis. Das sind verschiedene Vertrauensmodelle mit verschiedenen Fehlerarten.

Prüfen Sie dann die Implementierung und ihren Aktualisierungsstand, denn eine dokumentierte Chiffre in einem nicht gepatchten Client beschreibt eine Version, die Sie möglicherweise nicht ausführen. Veröffentlichte Einschränkungen der Protokollautoren lohnen aus demselben Grund die Lektüre. Ein Client, der seit einem Jahr nicht aktualisiert wurde, trifft eine andere Aussage als die Seite vor Ihnen.

Prüfen Sie, wo der Tunnel endet

Ein Tunnel vom Client zum Server endet am VPN-Server. Anwendungsverschlüsselung, etwa HTTPS zum dahinterliegenden Dienst, kann den Verkehr weiter entlang der Route schützen, und hinter dem Server ist sie möglicherweise der einzige verbleibende Schutz. Lesen Sie die Erklärung des Betreibers zu Endpunkten und entscheiden Sie, auf welche dieser Schichten sich die Aussage bezieht.

Protokollierungsrichtlinie und Kontoverfolgung stehen völlig außerhalb der Verschlüsselung. Ein Betreiber kann verschlüsselten Inhalt übertragen, während er Zeitverhalten, Adressen und Volumen beobachtet, eine Aussage über die Vertraulichkeit der Nutzdaten beantwortet also nichts darüber, was aufgezeichnet wird. Behandeln Sie die Aufbewahrung als separate Frage mit eigenen Belegen.

Halten Sie fest, was die Dokumentation nicht sagt

Wenn eine Eigenschaft fehlt, halten Sie fest, dass sie fehlt, statt sie aus dem Namen oder dem Ruf der Software abzuleiten. Ein Audit deckt nur die Eigenschaften und Komponenten ab, die es tatsächlich untersucht hat, und eine Lücke in der Dokumentation ist für sich genommen ein Befund. Schreiben Sie die Lücke auf, solange Sie noch wissen, welche Seite sie erzeugt hat.

Auf einer Maschine, die Sie kontrollieren, lesen Sie die Suite aus der laufenden Sitzung zurück, über die Statusseite des Clients oder die Liste der Sicherheitsassoziationen am Gateway, und notieren Sie diesen Wert neben der Client-Version. Diese Aufzeichnung macht eine Anbieteraussage später vergleichbar, wenn eine Aktualisierung das ausgehandelte Ergebnis ändert. Wenn Client und Dokumentation nicht übereinstimmen, vertrauen Sie dem ausgehandelten Ergebnis und melden Sie die Abweichung, statt sie stillschweigend auszugleichen.