DES eta 3DES VPN batean: zergatik biak diren bertsio-berritze okerra

Bi kifratzeak zaharkituta daude, eta ez da inor trafiko berrirako helburu egokia. Konparazio erabilgarria ez da DES 3DESen aurka; erretiratutako algoritmo bat da mantendutako baten aurka. Pasabideak oraindik edozein eskaintzen badu, lana da zer behar duen aurkitzea eta baldintza hori kentzea, eta ez bi kale itsuren arteko indartsuena aukeratzea.

Jendeak oraindik bilatzen duen konparazioa okerra da

2000ko hamarkadan idatzitako erantzunek DES hirukoitzarekin konparatzen dute eta hirukoitz DES indartsuagoa dela ondorioztatzen dute. Orduan zentzuzkoa zen eta orain alferrikakoa, biak erretiratuta daudelako trafiko berria babesteko, eta haien arteko aukera bi kale itsuren arteko aukera delako.

NISTek 2005ean erretiratu zuen DES estandarra, eta haren TDEA gomendioa 2024ko urtarrilean erretiratu zen, TDEA babes kriptografiko berriari aplikatzeko epea 2023aren amaieran amaitu ondoren. Data horiek trantsizio bat deskribatzen dute, ez sailkapen bat. Saio labur batek edo balio txikiko mezu batek ez du galdera berriro irekitzen, algoritmoaren egoera ez baitago giltza zenbat denboraz erabiltzen denaren mende.

Giltzaren berritzea kontrol bereizia da, eta ez du onespena berrezartzen.

Bereizi negoziazioa datu-bidetik

VPN protokoloek babesa leku batean baino gehiagotan negoziatzen dute. Kontrol-kanal batek multzo bat erabil dezake eramandako datuek beste bat erabiltzen duten bitartean, eta proposamen-zerrendak soilik esaten du zer dagoen prest parekide bat onartzeko. Irakurri negoziatutako emaitza, ez eskaintza. Bereizketa horrek ohiko nahasmena azaltzen du: pasabide batek oraindik algoritmo zaharra zerrendatzen du eta operadoreak erabiltzen ari dela suposatzen du, eskaini eta inoiz hautatu ez badaiteke ere, edo parekide zahar bakarrerako hautatu badaiteke.

IPsec pasabide batean dagokion irteera segurtasun-elkartea da; OpenVPN kasuan konexio-erregistroko kifratze eta TLS ezarpenak dira. Biek esaten dute zer hautatu zen. Bat ere ez da frogatzen konfigurazio-fitxategi batean oraindik dagoen aukera zahar batek.

Negoziatutako emaitza ikusten ez baduzu, ezin duzu esan kifratzea erretiratu denik.

Aurkitu oraindik hura eskatzen duen osagaia

Ondare-baldintzak hiru lekutatik datoz: ezer hoberik eskaintzen ez duen bezero zaharra, algoritmoa oraindik zerrendatzen duen pasabide-politika bat, eta protokolo zaharra soilik hitz egiten duen gailu bat. Bakoitzak konponbide desberdina du. Galdetu murrizketaren jabehari zein den bateragarritasun-hornitzaile bat gaitu aurretik, haren gaituztzeak konektatzen den parekide bakoitzari eragiten baitio.

Oraindik ordezkatu ezin den gailu bakarrerako, jarri mantendutako pasabide bat haren aurrean eta mugatu muga horrek zer eramaten duen. Horrek kifratze zaharra edukitzen du urrutiko erabiltzaile bakoitzak heredatu behar izan gabe.

Edukitzea ez da adabaki bat, eta ez du ostalari zaharra fidagarri egiten.

Migratu jada dituzun egiaztapenekin

Migrazioa amaitzen da aurreikusitako parekideek mantendutako profilekin konektatzen dutenean, negoziatutako multzoa espero zenuena denean eta aplikazioa funtzionatzen duenean. Mantendu zerbitzariaren identitatearen egiaztapena eta kontu-egiaztapenak denbora osoan; kifratze-aldaketa ez da horiek lasaitzeko arrazoia.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Erregistratu bezeroaren eta pasabidearen bertsioak negoziatutako emaitzaren ondoan, hurrengo berrikuspenak benetan zer aldatu zen esan dezan.

Erretiratu baimen zaharra bere jabearen bidez, eta gero egiaztatu algoritmo erretiratua soilik eskaintzen duen parekide bat orain ukatzen dela. Aukera zaharra gaituta uzten duen migrazioa ez zen gertatu. Gorde ukapenaren froga aldaketaren erregistroarekin, hurrengo auditoretzak nola dakizun galdetuko baitu, eta kendutako konfigurazio-lerro bat erregistratutako ukapena baino froga ahulagoa da. Gehitu probaren data eta parekidearen identitatea erregistro horretan saioa oraindik freskoa den bitartean.

Datu historikoak beste arazo bat dira

Duela urte batzuk babestutako artxibo bat irakurtzeak algoritmo zaharra behar lezake zilegitasunez. Hori lehendik dagoen materiala deszifratzea da, eta ez da trafiko berria babestea bezalako zeregin bera.

Mantendu halako lana ostalari isolatu batean, dokumentatutako helburu batekin eta nor aritu daitekeen zerrenda labur batekin.

Bereizketa garrantzitsua da, erretiratutako kifratze bat eskuragarri edukitzeko arrazoi zintzo bakarra delako. Tresna mugatu bat justifikatzen du, inoiz ez VPN profil publiko bateko lerro iraunkor bat.