Γιατί ένας μεγαλύτερος αριθμός κλειδιού δεν κάνει ένα VPN ασφαλέστερο

Η διαφήμιση λέει 256 bit, το άλλο προϊόν λέει 128 bit, και το συμπέρασμα φαίνεται προφανές μέχρι να προσέξετε ότι οι αριθμοί περιγράφουν διαφορετικά πράγματα. Ένα κλειδί συμμετρικού κρυπτογράφου, ένα δημόσιο κλειδί πιστοποιητικού και μια παράμετρος ανταλλαγής κλειδιών δεν μετριούνται στην ίδια κλίμακα. Κανένα από αυτά δεν καλύπτει αν ο πελάτης επαλήθευσε καθόλου τον διακομιστή. Ο αριθμός είναι πραγματική πληροφορία και είναι πολύ στενότερος από ό,τι υπονοεί το μάρκετινγκ γύρω του.

Ρωτήστε ποιο κλειδί μετριέται και τι προστατεύει πριν συγκρίνετε οτιδήποτε.

Τρία κλειδιά με τρεις δουλειές

Ο κρυπτογράφος δεδομένων κρυπτογραφεί το ωφέλιμο φορτίο της σήραγγας και το κλειδί του παράγεται εκ νέου για τη συνεδρία. Το δημόσιο κλειδί του πιστοποιητικού αποδεικνύει την ταυτότητα ενός άκρου κατά την πιστοποίηση. Το βήμα ανταλλαγής κλειδιών, συνήθως μια εφήμερη παραλλαγή Diffie-Hellman, καθιερώνει ένα κοινό μυστικό που καμία πλευρά δεν μπορεί να ανακατασκευάσει μετά. Καθένα έχει τις δικές του παραδοχές ισχύος και τις δικές του συμβάσεις μεγέθους.

Γι' αυτό ένα 256 δίπλα σε ένα 2048 δίπλα σε ένα 32 δεν μπορούν να καταταγούν κατά μέγεθος· είναι απαντήσεις σε διαφορετικά ερωτήματα.

Ακόμη και μέσα σε έναν μόνο ρόλο, ο αριθμός λέει κάτι μόνο σε σχέση με την οικογένεια αλγορίθμων που χρησιμοποιείται.

Πού βοηθά ο αριθμός και πού σταματά

Μέσα σε έναν αλγόριθμο, ένα μεγαλύτερο κλειδί αυξάνει το κόστος μιας αναζήτησης με ωμή βία, και οι δημοσιευμένες οδηγίες θέτουν ελάχιστα για τα κλειδιά πιστοποιητικών καθώς αλλάζει η υπολογιστική ισχύς. Είναι μια θεμιτή και στενή σύγκριση: τα AES-128 και AES-256 αντιστέκονται και τα δύο σε άμεση επίθεση με μεγάλα περιθώρια, οπότε η διαφορά σπάνια είναι ο καθοριστικός παράγοντας στην πράξη.

Έξω από αυτή τη σύγκριση, ο αριθμός δεν προβλέπει τίποτα για λάθη διαμόρφωσης, επικύρωση πιστοποιητικών ή έκδοση πρωτοκόλλου.

Διαβάστε ολόκληρη τη διαπραγματευμένη σουίτα

Αυτό που χρησιμοποιεί στην πραγματικότητα μια σύνδεση είναι μια σουίτα: ένας τρόπος κρυπτογράφου, μια δομή ακεραιότητας ή πιστοποιημένης κρυπτογράφησης, μια ομάδα ανταλλαγής κλειδιών και μια μέθοδος πιστοποίησης. Ένας σύγχρονος τρόπος AEAD με σωστή χειραψία είναι διαφορετική πρόταση από έναν παλαιότερο τρόπο με χωριστό MAC, ακόμη και όταν το διαφημιζόμενο μέγεθος κλειδιού είναι ίδιο.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Διαβάστε το διαπραγματευμένο αποτέλεσμα και όχι το διαμορφωμένο μέγιστο. Ένας πελάτης που προσφέρει ισχυρή σουίτα συνδέεται και πάλι αδύναμα αν ο διακομιστής επιλέξει την ασθενέστερη επιλογή και το προφίλ το επιτρέπει. Αν σας απασχολεί η απόδοση, μετρήστε την στη συσκευή και τη διαδρομή που εξετάζετε, γιατί το μέγεθος κλειδιού προβλέπει φτωχά τη διεκπεραιωτική ικανότητα μόλις μπουν στην εικόνα η επιτάχυνση υλικού και το μέγεθος πακέτου.

Τα μέρη που δεν μετρά ποτέ ένας αριθμός

Η συντήρηση λογισμικού είναι η πρώτη παράλειψη. Μια σήραγγα χτισμένη πάνω σε μια βιβλιοθήκη που σταμάτησε να λαμβάνει διορθώσεις είναι ασθενέστερη από ό,τι υποδηλώνει το μέγεθος κλειδιού της, και καμία τιμή διαμόρφωσης δεν το διορθώνει. Η συμπεριφορά του παρόχου είναι η δεύτερη: τα αρχεία συνδέσεων, τα δεδομένα λογαριασμού και ο χειρισμός υποστήριξης βρίσκονται εντελώς έξω από την κρυπτογραφία. Μια υπηρεσία που διατηρεί περισσότερα απ' όσα περιμένατε δεν γίνεται ασφαλέστερη με μακρύτερο κλειδί.

Η επαλήθευση του αντισυμβαλλομένου είναι η τρίτη και η πιο σημαντική. Ένας πελάτης που δέχεται οποιοδήποτε πιστοποιητικό έχει έναν ισχυρό κρυπτογράφο τυλιγμένο γύρω από έναν μη πιστοποιημένο αντισυμβαλλόμενο, κάτι που είναι χειρότερο από έναν μέτριο κρυπτογράφο με σωστή επικύρωση. Ελέγξτε αυτά τα τρία πριν από τον αριθμό, και ο αριθμός θα πάρει τη σωστή θέση του.