Zergatik gako-zenbaki handiago batek ez duen VPN seguruagoa egiten

Iragarkiak 256 bit dio, beste produktuak 128 bit dio, eta ondorioa begi-bistakoa dirudi zenbakiak gauza desberdinak deskribatzen dituela ohartu arte. Zifratze simetrikoaren gakoa, ziurtagiri baten gako publikoa eta gako-trukearen parametroa ez dira eskala berean neurtzen. Horietako batek ere ez du estaltzen bezeroak zerbitzaria egiaztatu ote zuen. Zenbakia benetako informazioa da, eta inguruko marketinak iradokitzen duena baino askoz estuagoa da.

Edozer alderatu aurretik, galdetu zein gako zenbatzen ari den eta zer babesten duen.

Hiru gako, hiru zeregin

Datuen zifratzeak tunelaren karga zifratzen du, eta haren gakoa saio bakoitzerako berriro eratortzen da. Ziurtagiriaren gako publikoak mutur baten identitatea frogatzen du autentifikazioan zehar. Gako-trukearen urratsak, normalean Diffie-Hellmanen aldaera efimero bat, bi aldeek geroago berreraiki ezin duten sekretu partekatua ezartzen du. Bakoitzak bere indarraren suposizioak eta bere tamainaren konbentzioak ditu.

Horregatik 256 bat 2048 baten ondoan eta 32 baten ondoan ezin dira magnitudearen arabera sailkatu; galdera desberdinen erantzunak dira.

Rol bakar baten barruan ere, zenbakiak erabiltzen den algoritmo-familarekiko zerbait baino ez du esaten.

Non laguntzen duen zenbakiak, eta non gelditzen den

Algoritmo baten barruan, gako handiago batek indar gordineko bilaketa baten kostua igotzen du, eta argitaratutako gidalerroek ziurtagirien gakoetarako minimoak ezartzen dituzte konputazio-potentzia aldatzen den heinean. Konparaketa zilegi eta estua da: AES-128 eta AES-256 biek eraso zuzenari tarte handiz egiten diote aurre, beraz aldea gutxitan da erabakigarria praktikan.

Konparaketa horretatik kanpo, zenbakiak ez du ezer aurresaten konfigurazio-akats, ziurtagirien baliozkotze edo protokolo-bertsioei buruz.

Irakurri negoziatutako multzo osoa

Konexio batek benetan erabiltzen duena multzo bat da: zifratze-modu bat, osotasunaren edo zifratze autentifikatuaren eraikuntza bat, gako-trukerako talde bat eta autentifikazio-metodo bat. Esku-ukaldi egokia duen AEAD modu modernoa proposamen desberdina da MAC bereiziarekin parekatutako modu zaharrago bat baino, baita tituluko gako-tamaina bera denean ere.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Irakurri negoziatutako emaitza, eta ez konfiguratutako maximoa. Multzo sendoa eskaintzen duen bezero batek ahulki konektatzen du oraindik zerbitzariak aukera ahulena aukeratzen badu eta profilekoak uzten badu. Errendimendua bada kezka, neurtu gailu eta ibilbide jakin horretan, gakoaren tamaina trafiko-ahalmenaren iragarle txarra baita hardwarearen azelerazioa eta pakete-tamaina sartzen direnean.

Zenbaki batek inoiz neurtzen ez dituen zatiak

Softwarearen mantentzea da lehen hutsunea. Konponketak jasotzeari utzi dion liburutegi baten gainean eraikitako tunela haren gako-tamainak iradokitzen duena baino ahulagoa da, eta konfigurazio-balio batek ere ez du hori konpontzen. Operadorearen portaera da bigarrena: konexio-erregistroak, kontuaren datuak eta laguntza-kudeaketa kriptografiatik erabat kanpo daude. Espero zenuena baino gehiago gordetzen duen zerbitzu bat ez da seguruagoa bihurtzen gako luzeago batekin.

Parearen egiaztapena da hirugarrena eta ondorio handiena duena. Edozein ziurtagiri onartzen duen bezeroak zifratze sendoa du autentifikatu gabeko pare baten inguruan bilduta, eta hori okerragoa da baliozkotze zuzena duen zifratze soil bat baino. Egiaztatu hiru horiek zenbakia baino lehen, eta zenbakiak bere lekua hartuko du.