Antaŭa sekreteco por VPN: kion povas malŝlosi ŝtelita ŝlosilo
Antaŭa sekreteco limigas, kion poste ŝtelita identeca ŝlosilo malkaŝas pri registritaj sesioj. Ĝi ne protektas vivan klartekston sur kompromitita aparato.
Registru hodiaŭ ĉifritan tunelon, ŝtelu venontjare la longdaŭran privatan ŝlosilon de la servilo kaj provu malĉifri la registraĵon. Antaŭa sekreteco estas la eco, kiu diras, ke la ŝtelita ŝlosilo ne sufiĉos sola. Ĝi estas aserto pri registritaj sesioj kaj specifaj sekretoj, ne ĝenerala promeso, ke la tunelo estis sekura. Ĝuste la ĝusta difino de la amplekso faras la terminon utila.
La demando temas pri registraĵo, ne pri la viva sesio
La longdaŭra ŝlosilo identigas la finpunkton kaj subskribas la manpremon. Sesiaj ŝlosiloj ĉifras la efektivan trafikon, kaj en antaŭsekreteca dezajno ili deriviĝas el freŝa ŝlosilinterŝanĝa materialo, kiun ambaŭ flankoj generas kaj poste forĵetas. Atakanto, kiu havas nur la longdaŭran ŝlosilon, ne povas rekonstrui tiujn forĵetitajn valorojn. Atakanto, kiu havas vivan sesian staton, ankoraŭ povas, kaj tial la garantio temas pri la pasinteco anstataŭ la nuntempo.
La aserto estas kondiĉa: ĝi validas nur se la efemeraj sekretoj vere estis detruitaj kaj la protokolo estas tiu, kiun vi pensas. Miksita deplojo povas plenumi ĝin sur unu tunelo kaj malsukcesi sur alia.
Unu sekreto ne rajtas rekonstrui la aliajn
Kontrolu la intertraktitan reĝimon anstataŭ la merkatan paĝon. La eligo de la manpremo nomas la ŝlosilinterŝanĝon kaj la protokolan version.
openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sasLa resumo de s_client montras la TLS-version kaj la ŝlosilinterŝanĝan grupon, kaj efemera grupo estas la videbla signo de antaŭsekreteca ŝlosilinterkonsento. La listo de swanctl montras asociojn IKE kaj CHILD kun iliaj ŝlosilrenovigaj tempigiloj, do vi povas vidi, ĉu la deplojo renovigas ŝlosilojn laŭ horaro. Statika RSA-ŝlosilinterŝanĝo aŭ malnova kongrueca reĝimo perdas la econ sendepende de la ĉifra nomo. Notu la reĝimon, kiun vi observis, ne tiun, kiun la vendanto reklamis.
Ŝlosilrenovigo ne aŭtomate estas antaŭa sekreteco
Kiom ofte tunelo renovigas ŝlosilojn estas aparta demando de tio, kiel ĉiu ŝlosilo deriviĝas. Dezajno, kiu regeneras ŝlosilojn el longdaŭra sekreto, povas renovigi ŝlosilojn ĉiun minuton kaj tamen malsukcesi la teston, ĉar posta kompromito rekonstruas ilin ĉiujn. Male, protokolo kun malofta renovigo povas resti antaŭsekreta, kiam ĉiu interŝanĝo estas sendependa. Legu la derivadon, ne la intervalon, kaj ne konfuzu mallongan rekonektan tempigilon kun kriptografia garantio.
La sama konfuzo aperas ĉe ĉifraj nomoj: moderna ĉifro diras nenion pri tio, kiel alvenis ĝia ŝlosilo.
Kio restas videbla post la garantio
Antaŭa sekreteco protektas la klartekston de registritaj sesioj kontraŭ estonta ŝlosilkompromito, kaj ĝi faras nenion kontraŭ atakanto, kiu legas vivan trafikon sur kompromitita finpunkto. Ĝi ne forigas celadresojn, tempojn aŭ volumenon de la registraĵo, kaj ĝi ne limigas, kiom longe operatoro konservas konektajn protokolojn. Ĝi ankaŭ ne igas kompromititan klienton fidinda, ĉar la atakanto jam sidas tie, kie enhavo ekzistas malkaŝe.
Kiam provizanto asertas antaŭan sekretecon, demandu, kiu longdaŭra sekreto estas supozata ŝtelita kaj kiuj sesiaj sekretoj restas neatingeblaj. Se tiuj du demandoj havas klarajn respondojn, la aserto signifas ion.