DES versus 3DES VPN-is: miks mõlemad on vale uuendus

Mõlemad šifrid on vananenud ja kumbki ei ole uue liikluse jaoks õige sihtmärk. Kasulik võrdlus ei ole DES versus 3DES; see on kasutusest võetud algoritm versus hooldatav. Kui lüüs pakub veel kumbagi, on ülesanne leida, mis seda nõuab, ja see nõue eemaldada, mitte valida kahest tupikust tugevam.

Võrdlus, mida inimesed veel otsivad, on vale

2000. aastatel kirjutatud vastused võrdlevad DES-i kolmekordse DES-iga ja järeldavad, et kolmekordne DES on tugevam. See oli tol ajal mõistlik ja on nüüd kasutu, sest mõlemad on uue liikluse kaitsmiseks kasutusest võetud ning valik nende vahel on valik kahe tupiku vahel.

NIST võttis DES-i standardi tagasi 2005. aastal ja selle TDEA soovitus võeti tagasi 2024. aasta jaanuaris pärast seda, kui TDEA uue krüptograafilise kaitse jaoks kohaldamise tähtaeg lõppes 2023. aasta lõpus. Need kuupäevad kirjeldavad üleminekut, mitte paremusjärjestust. Lühike sessioon või väikese väärtusega sõnum ei ava küsimust uuesti, sest algoritmi staatus ei sõltu sellest, kui kaua võtit kasutatakse.

Võtme uuendamine on eraldi kontroll ega taasta heakskiitu.

Eraldage läbirääkimine andmeteekst

VPN-protokollid peavad läbirääkimisi kaitse üle rohkem kui ühes kohas. Juhtkanal võib kasutada üht komplekti, samal ajal kui edastatavad andmed kasutavad teist, ja pakkumiste loend ütleb ainult, mida partner on valmis vastu võtma. Lugege läbiräägitud tulemust, mitte pakkumist. See erinevus selgitab levinud segadust: lüüs loetleb endiselt vana algoritmi ja operaator eeldab, et see on kasutusel, kuigi seda võidakse pakkuda ja mitte kunagi valida või valida ainult ühe vana partneri jaoks.

IPsec-lüüsil on asjakohane väljund turbeseos; OpenVPN puhul on selleks šifri ja TLS-i seaded ühenduse logis. Mõlemad ütlevad, mis valiti. Kumbagi ei tõenda vana valik, mis on konfiguratsioonifailis endiselt olemas.

Kui te ei näe läbiräägitud tulemust, ei saa te väita, et šifer kasutusest võeti.

Leidke komponent, mis seda veel nõuab

Pärandnõuded tulevad kolmest kohast: vana klient, mis ei paku midagi paremat, lüüsi poliitika, mis loetleb algoritmi endiselt, ja seade, mis räägib ainult vana protokolli. Igal on erinev lahendus. Enne ühilduvusteenuse pakkuja lubamist küsige piirangu omanikult, milline neist see on, sest selle lubamine mõjutab iga ühenduvat partnerit.

Ühe seadme jaoks, mida veel asendada ei saa, asetage selle ette hooldatav lüüs ja piirake, mida see piir edastab. See hoiab vana šifri kontrolli all, ilma et iga kaugkasutaja selle päriks.

Piiramine ei ole plaaster ja see ei muuda vana hosti usaldusväärseks.

Migreerige kontrollidega, mis teil juba on

Migratsioon on lõppenud, kui kavandatud partnerid ühenduvad hooldatava profiiliga, läbiräägitud komplekt on see, mida ootasite, ja rakendus töötab. Hoidke serveri identiteedi kontroll ja konto kontrollid kogu aeg jõus; šifri muutmine ei ole põhjus neid lõdvendada.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Kirjutage kliendi ja lüüsi versioonid läbiräägitud tulemuse kõrvale, et järgmine ülevaatus saaks öelda, mis tegelikult muutus.

Võtke vana luba selle omaniku kaudu tagasi ja kinnitage seejärel, et ainult kasutusest võetud algoritmi pakkuv partner lükatakse nüüd tagasi. Migratsioon, mis jätab vana valiku lubatuks, on migratsioon, mida ei toimunud. Hoidke tagasilükkamise tõend muudatuse kirjega, sest järgmine audit küsib, kuidas te seda teate, ja eemaldatud konfiguratsioonirida on nõrgem tõend kui logitud tagasilükkamine. Lisage testi kuupäev ja partneri identiteet sellesse kirjesse, kuni sessioon on veel värske.

Ajaloolised andmed on teine probleem

Aastaid tagasi kaitstud arhiivi lugemine võib õiguspäraselt nõuda vana algoritmi. See on olemasoleva materjali dekrüpteerimine ja see ei ole sama ülesanne kui uue liikluse kaitsmine.

Hoidke sellist tööd isoleeritud hostil, millel on dokumenteeritud eesmärk ja lühike loend, kes seda käivitada tohib.

See erinevus on oluline, sest see on ainus aus põhjus hoida kasutusest võetud šifer saadaval. See õigustab piiratud ulatusega tööriista, mitte kunagi alalist rida avalikus VPN-profiilis.