Komuna DH-grupo, freŝaj sekretoj: kial la atako malpliiĝas en kosto

Grupaj parametroj estas publikaj laŭ la dezajno, kaj ĝuste tiu publikeco faras ilin facile preteratenteblaj. En Diffie-Hellman super finia kampo la modulo kaj la generatoro estas komunaj, dum la privataj eksponentoj kaj la rezultaj sesiaj ŝlosiloj ne estas. La multekosta stadio de atako per kribrilo de nombra kampo dependas de la grupo, ne de unu interŝanĝo, do unu malforta grupo uzata ĉie fariĝas komuna ŝarĝo. Nomado de la parametroj publikaj estas ĝusta kaj flanke de la punkto, ĉar la kosto reuzata estas la kosto ataki ĝuste tiun grupon.

La publika duono ne estas la vundebla duono, kaj en tio kuŝas la kaptilo

La kutima duon-argumento diras, ke la parametroj estas publikigitaj en normo, do atakanto jam konas ilin kaj kaŝado de ili nenion ŝanĝus. Ambaŭ asertoj veras, kaj neniu sekvas el la alia. Defaŭlta grupo liverita estas publika, kaj privata grupo, kiun vi generis pasintsemajne, same videblas al iu ajn, kiu finas la manpremon. Sekreteco neniam estis la regilo; forto kaj validigo estas.

Kio ŝanĝiĝas, estas kiom da lokoj dividas la saman malfortecon. Unu organizo, kiu generas sian propran 2048-bitan grupon, pagas sian propran atakkoston, dum protokola defaŭlto elektita de milionoj amortizas unu koston trans ĉiuj. Tiusence nekutima grupo ne estas aŭtomate pli bona. Nekutima grupo, kiu estas tro malgranda, estas simple pli malgranda komuna sekreto kun malpli da okuloj sur ĝi.

Validigo same gravas kiel grando. Kunulo, kiu sendas modulon kun malgrandaj faktoroj, aŭ unu, kiu ne havas la formon, kiun la protokolo atendas, povas liki informon pri la privata eksponento eĉ kiam la bitlongo aspektas respektebla. Bibliotekoj, kiuj rifuzas misformitajn parametrojn ĉe la eniro, faras veran laboron, kaj tial permane skribita analizo de parametroj estas malbona loko por ŝpari penon.

Kion la antaŭkalkulo vere donas al atakanto

La kribrilo de nombra kampo havas stadion, kiu dependas nur de la primo, kaj ĝia eligo estas reuzebla kontraŭ ĉiu interŝanĝo, kiu uzas tiun primon. Tio estas la tuta mekanismo malantaŭ la historia zorgo: la multekosta parto pagiĝas unufoje, kaj la limkosto de ĉiu plua sesio malaltiĝas. Freŝaj eksponentoj ankoraŭ protektas ĉiun unuopan interŝanĝon kontraŭ pasiva observanto, kondiĉe ke la grupo estas sufiĉe granda por fari la kribradon neebla. La du asertoj kongruas, kaj la plej multaj disputoj pri ĉi tiu temo venas de elekti unu kaj forlasi la alian.

La papero Logjam de 2015 montris malaltigon al 512-bita eksportnivela Diffie-Hellman kaj taksis, kiom kostus ataki pli grandajn, vaste reuzatajn grupojn kun signifaj rimedoj. La montro estis konkreta, la taksoj estis taksoj, kaj nek unu estis pruvo, ke aparta VPN-sesio estis malĉifrita.

Citu la paperon pro la mekanismo kaj pro la montrita malaltigo, ne kiel mezuron de via deplojo. Malnovaj statistikoj pri tio, kiom da serviloj dividis defaŭltan grupon, priskribas la interreton de tiu jaro, ne reton, kiun vi povas inspekti hodiaŭ. La utila heredaĵo estas la demando: ĉu viaj aparatoj ankoraŭ intertraktas grupon, kiu estas malgranda aŭ malforte validigita?

Normigita ne samas al malforta

RFC 7919 difinas nomitajn grupojn de finia kampo, por ke ambaŭ flankoj konsentu pri grupo per identigilo kaj apliku konsekvencan politikon. Esti normigita estas avantaĝo, ĉar ĝi forigas la ambiguecon de intertraktado kaj permesas al efektivigo rifuzi nesubtenatajn grandojn. Nomita grupo estas malforta nur kiam ĝia grando situas sub la politiko, kiun vi pretendas sekvi, ne ĉar ĝi aperas en dokumento. La sama logiko validas por grupoj de elipsaj kurboj, kiuj havas alian strukturon kaj aliajn malsukcesmanierojn.

Tenu la konstruaĵojn apartaj, kiam vi rezonas pri ili. Konkludo pri Diffie-Hellman super finia kampo diras nenion pri X25519, kaj konkludo pri 1024-bita MODP-grupo diras nenion pri 3072-bita. Fortopolitiko estas laŭ mekanismo, laŭ grando kaj laŭ protokola versio, tial la frazo forta kriptografio ne estas reviziebla aserto.

Aŭtentigo estas la alia duono, kaj ĝi ne anstataŭas. Forta grupo sen kontrolo de la kunulo lasas atakanton en la mezo, kaj valida atestilo ne savas 768-bitan interŝanĝon. Revizu ilin kiel du sendependajn liniojn, poste konfirmu, ke ambaŭ efektive intertraktiĝas.

Legu la intertraktitan grupon sur reala konekto

Legu la intertraktitan grupon el la aparato anstataŭ el la agorda ŝablono. Ŝablonoj priskribas intencon, kaj la interesa valoro estas tiu, pri kiu ambaŭ flankoj konsentis dum la lasta manpremo. Ĉe IPsec-finpunkto la stata eligo kutime presas la elektitan proponon, inkluzive de la MODP-grupo.

Kaptu tiun linion antaŭ kaj post politika ŝanĝo, kaj konservu ambaŭ en la ŝanĝregistro. La komparo estas la pruvo.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Se post la ŝanĝo la stato ankoraŭ montras la malnovan grupon, la konekto ne reintertraktis kaj la agorda redakto pruvis nenion. Restartigu la kunulon aŭ viŝu la sekurecan asociadon, poste legu la staton denove. Politiko plenumata nur por novaj konektoj lasos longdaŭrajn tunelojn sur la malnovaj parametroj dum ili restas aktivaj.

Kontrolu la grupon kaj la identecon de la kunulo aparte

Apartigu, kion la grupo protektas, de tio, kiu estas ĉe la alia flanko. Registru la metodon de ŝlosilinterŝanĝo, la grandon de la grupo kaj la metodon de aŭtentigo kiel tri kampojn, ĉar ili malsukcesas sendepende. Tunelo, kiu intertraktis 3072-bitan grupon sed akceptas ajnan atestilon, ne estas la sama risko kiel unu, kiu fiksas kunulon kaj uzas 2048-bitan grupon.

Skribu la akceptkriteriojn antaŭ ol la revizio komenciĝas, por ke la rezulto estu komparo, ne opinio. Minimuma grupgrando laŭ protokola versio, permeslisto de nomitaj grupoj kaj deviga kontrolo de la kunulo sufiĉas por igi la decidon meĥanika. Ambigueco en tiu listo estas tio, kio transformas revizion en disputon, kaj disputoj ne estas riparataj. Tiam la eligo estas listo de finpunktoj, kiuj malobservas deklaran regulon.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Fermu la ciklon relegante la intertraktitajn valorojn post la riparo. Kongrua agorda dosiero ne estas pruvo, ke tunelo alprenis ĝin. La stata eligo kaj unu freŝa manpremo estas la pruvo, kaj kolekti ilin daŭras malpli ol la kunveno pri tio, ĉu ili necesas.