چرا عدد بزرگ‌تر کلید، VPN را امن‌تر نمی‌کند
اندازه کلید فقط درون یک الگوریتم و یک نقش معنا دارد. بررسی طرف مقابل، انتخاب مجموعه، وصله‌ها و سوابق اپراتور پرسش‌هایی هستند که پاسخشان را نمی‌دهد.
تبلیغ می‌گوید 256 بیت، محصول دیگر می‌گوید 128 بیت، و نتیجه بدیهی به نظر می‌رسد تا وقتی متوجه شوید این اعداد چیزهای متفاوتی را توصیف می‌کنند. کلید رمز متقارن، کلید عمومی گواهی و پارامتر تبادل کلید با یک مقیاس سنجیده نمی‌شوند. هیچ‌یک از آن‌ها پوشش نمی‌دهد که آیا کارخواه اصلاً کارساز را بررسی کرده است یا نه. عدد اطلاعات واقعی است، و بسیار محدودتر از آن است که بازاریابی اطرافش القا می‌کند.
پیش از مقایسه هر چیزی بپرسید کدام کلید شمرده می‌شود و از چه چیزی محافظت می‌کند.
سه کلید با سه وظیفه
رمز داده‌ها محتوای تونل را رمزگذاری می‌کند و کلید آن برای هر نشست از نو مشتق می‌شود. کلید عمومی گواهی در هنگام احراز هویت، هویت یک نقطه پایانی را اثبات می‌کند. مرحله تبادل کلید، که معمولاً گونه‌ای گذرای Diffie-Hellman است، رازی مشترک برقرار می‌کند که هیچ طرفی پس از آن نمی‌تواند بازسازی کند. هر یک فرض‌های قدرت و قراردادهای اندازه خودش را دارد.
به همین دلیل 256 در کنار 2048 در کنار 32 را نمی‌توان بر پایه بزرگی مرتب کرد؛ آن‌ها پاسخ به پرسش‌های متفاوت‌اند.
حتی درون یک نقش واحد، عدد فقط نسبت به خانواده الگوریتم به‌کاررفته چیزی می‌گوید.
کجا عدد کمک می‌کند و کجا متوقف می‌شود
درون یک الگوریتم، کلید بزرگ‌تر هزینه جست‌وجوی خام را بالا می‌برد و راهنمایی‌های منتشرشده با تغییر توان محاسباتی، حداقل‌هایی برای کلیدهای گواهی تعیین می‌کنند. این مقایسه‌ای مشروع و محدود است: AES-128 و AES-256 هر دو با حاشیه گسترده در برابر حمله مستقیم مقاومت می‌کنند، بنابراین این تفاوت در عمل به‌ندرت عامل تعیین‌کننده است.
بیرون از آن مقایسه، عدد هیچ چیزی درباره خطاهای پیکربندی، اعتبارسنجی گواهی یا نسخه پروتکل پیش‌بینی نمی‌کند.
کل مجموعه مذاکره‌شده را بخوانید
آنچه یک اتصال واقعاً به کار می‌برد یک مجموعه است: یک حالت رمز، یک ساختار یکپارچگی یا رمزگذاری احراز‌شده، یک گروه تبادل کلید و یک روش احراز هویت. یک حالت مدرن AEAD با دست‌دادن درست، پیشنهادی متفاوت از حالت قدیمی‌تر همراه با MAC جداگانه است، حتی وقتی اندازه کلید اعلام‌شده یکسان باشد.
openvpn --show-ciphers | head -20 openvpn --show-tls | head -20 openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm' wg show
نتیجه مذاکره را بخوانید، نه حداکثر پیکربندی‌شده را. کارخواهی که مجموعه قوی عرضه می‌کند، اگر کارساز گزینه ضعیف‌تر را برگزیند و نمایه اجازه دهد، باز هم ضعیف متصل می‌شود. اگر نگرانی کارایی است، آن را روی همان دستگاه و مسیر اندازه بگیرید، زیرا اندازه کلید پیش‌بین بدی برای توان عبوری است وقتی شتاب سخت‌افزاری و اندازه بسته وارد ماجرا می‌شوند.
بخش‌هایی که هیچ عددی نمی‌سنجد
نگهداری نرم‌افزار نخستین غفلت است. تونلی که بر کتابخانه‌ای ساخته شده که دریافت اصلاحیه را متوقف کرده، ضعیف‌تر از آن است که اندازه کلیدش القا می‌کند، و هیچ مقدار پیکربندی آن را جبران نمی‌کند. رفتار اپراتور دومی است: سوابق اتصال، داده‌های حساب و رسیدگی پشتیبانی کاملاً بیرون از رمزنگاری قرار دارند. سرویسی که بیش از انتظار شما نگه می‌دارد با کلید بلندتر امن‌تر نمی‌شود.
بررسی طرف مقابل سومین و پرعارضه‌ترین است. کارخواهی که هر گواهی را می‌پذیرد، رمز قوی‌ای را دور طرفی تأییدنشده پیچیده است، و این بدتر از رمزی متوسط با اعتبارسنجی درست است. پیش از عدد، این سه را بررسی کنید و عدد جای شایسته خود را خواهد گرفت.