Edasisuunaline salastamine VPN-i jaoks: mida varastatud võti saab avada

Salvestage täna krüpteeritud tunnel, varastage järgmisel aastal serveri pikaajaline privaatvõti ja proovige salvestust dekrüpteerida. Edasisuunaline salastamine on omadus, mis ütleb, et varastatud võtist üksi ei piisa. See on väide salvestatud sessioonide ja konkreetsete saladuste kohta, mitte üldine lubadus, et tunnel oli turvaline. Termini kasulikuks teeb just ulatuse õige määratlemine.

Küsimus on salvestusest, mitte elavast sessioonist

Pikaajaline võti tuvastab otspunkti ja allkirjastab käepigistuse. Sessioonivõtmed krüpteerivad tegeliku liikluse ja edasisuunalise salastamise lahenduses tuletatakse need värskest võtmevahetusmaterjalist, mille mõlemad pooled loovad ja hiljem kõrvale heidavad. Ründaja, kellel on ainult pikaajaline võti, ei saa neid kõrvaleheidetud väärtusi rekonstrueerida. Ründaja, kellel on elav sessiooniseisund, saab siiski, mistõttu käib garantii mineviku, mitte oleviku kohta.

Väide on tingimuslik: see kehtib ainult siis, kui efemeersed saladused tõesti hävitati ja protokoll on see, mida te arvate. Segalahendus võib selle ühes tunnelis täita ja teises ebaõnnestuda.

Üks saladus ei tohi teisi uuesti üles ehitada

Kontrollige läbiräägitud režiimi, mitte turunduslehte. Käepigistuse väljund nimetab võtmevahetuse ja protokolli versiooni.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

s_clienti kokkuvõte näitab TLS-i versiooni ja võtmevahetusgruppi ning efemeerne grupp on edasisuunalise salastamisega võtmekokkuleppe nähtav märk. swanctl-i loend näitab IKE- ja CHILD-assotsiatsioone koos nende võtmeuuendustaimeritega, nii et näete, kas lahendus uuendab võtmeid ajakava järgi. Staatiline RSA-võtmevahetus või vana ühilduvusrežiim kaotab selle omaduse sõltumata šifri nimest. Kirjutage üles režiim, mida te jälgisite, mitte see, mida tarnija reklaamis.

Võtmeuuendus ei ole automaatselt edasisuunaline salastamine

Kui sageli tunnel võtmeid uuendab, on eraldi küsimus sellest, kuidas iga võti tuletatakse. Lahendus, mis loob võtmeid uuesti pikaajalisest saladusest, võib võtmeid uuendada iga minut ja ikka testil läbi kukkuda, sest hilisem kompromiteerimine rekonstrueerib need kõik. Vastupidi, harva uuendatavate võtmetega protokoll võib ikka olla edasisuunalise salastamisega, kui iga vahetus on sõltumatu. Lugege tuletust, mitte intervalli, ja ärge segage lühikest taasühendumistaimerit krüptograafilise garantiiga.

Sama segadus ilmneb šifrinimede puhul: kaasaegne šiffer ei ütle midagi selle kohta, kuidas selle võti kohale jõudis.

Mis jääb pärast garantiid nähtavaks

Edasisuunaline salastamine kaitseb salvestatud sessioonide lihtteksti tulevase võtmekompromiteerimise eest ega tee midagi ründaja vastu, kes loeb elavat liiklust kompromiteeritud otspunktis. See ei eemalda salvestusest sihtkohtade aadresse, ajastust ega mahtu ning ei piira, kui kaua operaator ühenduslogisid hoiab. See ei muuda ka kompromiteeritud klienti usaldusväärseks, sest ründaja istub juba seal, kus sisu on avalikult olemas.

Kui teenusepakkuja väidab edasisuunalist salastamist, küsige, milline pikaajaline saladus loetakse varastatuks ja millised sessioonisaladused jäävad kättesaamatuks. Kui neil kahel küsimusel on selged vastused, tähendab väide midagi.