DH talde partekatua, sekretu berriak: zergatik garestitzen da erasoa

Taldearen parametroak diseinuz publikoak dira, eta publizitate horrek berak egiten ditu erraz baztertzen. Eremu finituaren Diffie-Hellmanen modulua eta sorgailua partekatuak dira, baina berretzaile pribatuak eta sortutako saio-gakoak ez. Zenbaki-eremuaren bahearen erasoaren fase garestiena taldearen mende dago, ez truke baten mende, beraz, nonahi erabiltzen den talde ahul bat erantzukizun partekatua bihurtzen da. Parametroz publikoak direla esatea zehatza da eta ez da kontua, berrerabiltzen den kostua talde horri erasotzearen kostua delako.

Erdi publikoa ez da erdi zaurgarria, eta hor dago tranpa

Ohiko erdi-argudioak dio parametroak estandar batean argitaratuta daudela, beraz erasotzaileak badakizkiela eta ezkutatzeak ez lukeela ezer aldatuko. Bi esaldiak egiazkoak dira eta batak ez du bestetik ondorioztatzen. Bidaltzen den talde lehenetsia publikoa da, eta joan den astean sortu zenuen talde pribatua ere ikusgai dago esku-ematea osatzen duen edonorentzat. Sekretutasuna ez zen inoiz kontrola; indarra eta baliozkotzea dira.

Aldatzen dena da zenbat tokik partekatzen duten ahulezia bera. Bere 2048 biteko taldea sortzen duen erakunde batek bere eraso-kostua ordaintzen du, milioika hautatutako protokolo-lehenespen batek kostu bakarra denen artean amortizatzen duen bitartean. Zentzu horretan talde ezohiko bat ez da automatikoki hobea. Txikiegia den talde ezohiko bat begi gutxiagoren aurrean dagoen sekretu partekatu txikiago bat baino ez da.

Baliozkotzeak tamainak adina balio du. Faktore txikiko modulu bat bidaltzen duen bikoteak, edo protokoloak espero duen forma ez duenak, berretzaile pribatuari buruzko informazioa isur dezake bit-luzera errespetagarria dirudienean ere. Sarreran parametro gaizki eratuak baztertzen dituzten liburutegiek benetako lana egiten dute, eta horregatik da parametroen analisia eskuz egitea ahalegina aurrezteko toki txarra.

Zer erosten dion aurrekonputuak erasotzaileari

Zenbaki-eremuaren baheak zenbaki lehenaren mende soilik dagoen fase bat du, eta haren emaitza berrerabilgarria da zenbaki lehen hori erabiltzen duen truke bakoitzaren aurka. Horixe da kezka historikoaren atzean dagoen mekanismo osoa: zati garestia behin ordaintzen da, eta ondorengo saio bakoitzaren kostu marjinala jaisten da. Berretzaile berriek truke bakoitza behatzaile pasibo batetik babesten dute oraindik, taldea bahea ezinezko egiteko bezain handia den bitartean. Bi esaldiak bateragarriak dira, eta gai honen inguruko eztabaida gehienak bat hartu eta bestea baztertzean sortzen dira.

2015eko Logjam lanak 512 biteko esportazio-mailako Diffie-Hellmanera jaistea erakutsi zuen eta baliabide esanguratsuekin erabilera zabaleko talde handiagoei erasotzeak zenbat kostatuko lukeen estimatu zuen. Erakustaldia zehatza zen, estimazioak estimazioak ziren, eta batak ere ez zuen frogatzen VPN saio jakin bat deszifratu zenik.

Aipa ezazu lana mekanismoagatik eta erakutsi zen jaisteagatik, ez zure inplementazioaren neurri gisa. Zenbat zerbitzarik talde lehenetsi bat partekatzen zuten zioten estatistika zaharrek urte hartako internet deskribatzen dute, ez gaur egun ikus dezakezun sare bat. Ekarpen erabilgarria galdera da: zure gailuek oraindik talde txiki edo ahulki baliozkotua negoziatzen al dute?

Estandarizatua ez da ahula izatea

RFC 7919 espezifikazioak eremu finituko talde izendatuak definitzen ditu, bi muturrak identifikatzaile baten bidez talde batean ados egon eta politika koherentea aplika dezaten. Estandarizatua izatea abantaila da, negoziazioaren anbiguotasuna kentzen duelako eta inplementazio bait ahalbidetzen dio onartzen ez diren tamainak ukatzea. Talde izendatu bat ahula da soilik haren tamaina jarraitzen duzula diozun politikaren azpitik dagoenean, ez dokumentu batean agertzeagatik. Logika bera aplikatzen zaie kurba eliptikoko taldeei, egitura eta huts-erregimen desberdinak dituztenei.

Eduki konstrukzioak bereizita haiei buruz arrazoitzen duzunean. Eremu finituaren Diffie-Hellmanari buruzko ondorio batek ez du ezer esaten X25519ri buruz, eta 1024 biteko MODP talde bati buruzko ondorioak ez du ezer esaten 3072 bitekoari buruz. Indar-politika mekanismoz, tamainaz eta protokolo-bertsioz zehazten da, eta horregatik kriptografia sendoa esaldia ez da berrikusgarria den baieztapena.

Autentifikazioa beste erdia da, eta ez du ordezkatzen. Bikote-egiaztapenik gabeko talde indartsu batek erasotzailea erdian uzten du, eta ziurtagiri baliodun batek ezin du 768 biteko trukea salbatu. Berrikus itzazu bi lerro independente gisa, eta gero egiaztatu biak benetan negoziatzen direla.

Irakurri negoziatutako taldea benetako konexio batean

Irakurri negoziatutako taldea gailutik, ez konfigurazio-txantiloitik. Txantiloiak asmoa deskribatzen dute, eta balio interesgarria bi muturrek azken esku-ematean adostu zutena da. IPsec muturrean egoera-irteerak hautatutako proposamena inprimatzen du normalean, MODP taldea barne.

Harrapatu lerro hori politika-aldaketa baten aurretik eta ondoren, eta gorde biak aldaketa-erregistroan. Konparazioa da froga.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Aldaketaren ondoren egoerak talde zaharra erakusten badu, konexioak ez du berriro negoziatu eta konfigurazioaren aldaketak ez du ezer frogatu. Hasi berriro bikotea edo garbitu segurtasun-elkartea, eta gero irakurri egoera berriro. Konexio berriei soilik aplikatzen zaien politikak parametro zaharretan utziko ditu bizitza luzeko tunelak, altxatuta dauden bitartean.

Egiaztatu taldea eta bikotearen identitatea bereizita

Bereizi taldeak zer babesten duen eta nor dagoen beste muturrean. Erregistratu gako-trukearen metodoa, taldearen tamaina eta autentifikazio-metodoa hiru eremu gisa, independenteki huts egiten dutelako. 3072 biteko taldea negoziatu baina edozein ziurtagiri onartzen duen tunel bat ez da arrisku bera bikotea finkatu eta 2048 biteko taldea erabiltzen duen beste batena.

Idatzi onarpen-irizpideak berrikuspena hasi aurretik, emaitza iritzia ez baina konparazioa izan dadin. Protokolo-bertsio bakoitzeko gutxieneko talde-tamaina, talde izendatuen baimen-zerrenda eta bikotearen derrigorrezko egiaztapena nahikoa dira erabakia mekaniko egiteko. Zerrenda horretako anbiguotasuna da berrikuspena eztabaida bihurtzen duena, eta eztabaidak ez dira konpontzen. Orduan irteera arau jakin bat betetzen ez duten muturren zerrenda da.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Itxi zikloa konponketaren ondoren negoziatutako balioak berriro irakurriz. Konfigurazio-fitxategi adostu batek ez du frogatzen tunel batek hartu duenik. Egoera-irteera eta esku-emate berri bat dira froga, eta horiek biltzeak denbora gutxiago hartzen du beharrezkoak ote diren bilerak baino.