DES vs. 3DES VPN:ssä: miksi kumpikaan ei ole oikea päivitys

Molemmat salaukset ovat vanhentuneita, eikä kumpikaan ole oikea kohde uudelle liikenteelle. Hyödyllinen vertailu ei ole DES vastaan 3DES; se on käytöstä poistettu algoritmi vastaan ylläpidetty. Jos yhdyskäytävä yhä tarjoaa jompaakumpaa, tehtävä on selvittää, mikä sitä vaatii, ja poistaa tämä vaatimus, ei valita kahdesta umpikujasta vahvempaa.

Vertailu, jota ihmiset yhä etsivät, on väärä

2000-luvulla kirjoitetut vastaukset vertaavat DES:iä kolminkertaiseen DES:iin ja päättelevät, että kolminkertainen DES on vahvempi. Se oli silloin järkevää ja on nyt hyödytöntä, koska molemmat on poistettu uuden liikenteen suojaamisesta ja niiden välinen valinta on valinta kahden umpikujan välillä.

NIST veti DES-standardin pois vuonna 2005, ja sen TDEA-suositus vedettiin pois tammikuussa 2024, kun TDEA:n soveltamisen määräaika uuteen kryptografiseen suojaan päättyi vuoden 2023 lopussa. Nämä päivämäärät kuvaavat siirtymää, eivät paremmuusjärjestystä. Lyhyt istunto tai vähäarvoinen viesti ei avaa kysymystä uudelleen, koska algoritmin tila ei riipu siitä, kuinka kauan avainta käytetään.

Avaimen uusiminen on erillinen valvontakeino, eikä se palauta hyväksyntää.

Erota neuvottelu datapolusta

VPN-protokollat neuvottelevat suojauksesta useammassa kuin yhdessä paikassa. Ohjauskanava voi käyttää yhtä kokonaisuutta, kun siirrettävä data käyttää toista, ja ehdotusluettelo kertoo vain, mitä vertaiskumppani on valmis hyväksymään. Lue neuvoteltu tulos, älä tarjousta. Tämä ero selittää yleisen sekaannuksen: yhdyskäytävä luettelee yhä vanhan algoritmin ja operaattori olettaa sen olevan käytössä, vaikka sitä voidaan tarjota ja olla koskaan valitsematta, tai valita vain yhtä vanhaa vertaiskumppania varten.

IPsec-yhdyskäytävässä olennainen tulos on tietoturvayhteys; OpenVPN puolestaan näkyy salaus ja TLS-asetukset yhteyslokissa. Molemmat kertovat, mitä valittiin. Kumpaakaan ei todisteta vanhalla asetuksella, joka on yhä konfiguraatiotiedostossa.

Jos et näe neuvoteltua tulosta, et voi väittää, että salaus on poistettu käytöstä.

Etsi komponentti, joka yhä pyytää sitä

Perintövaatimukset tulevat kolmesta paikasta: vanha asiakas, joka ei tarjoa mitään parempaa, yhdyskäytävän käytäntö, joka yhä luettelee algoritmin, ja laite, joka puhuu vain vanhaa protokollaa. Jokaisella on eri korjaus. Kysy rajoitteen omistajalta, mikä niistä se on, ennen kuin otat yhteensopivuustarjoajan käyttöön, koska sen käyttöönotto vaikuttaa jokaiseen yhteyden muodostavaan vertaiskumppaniin.

Yhdelle laitteelle, jota ei vielä voi korvata, aseta ylläpidetty yhdyskäytävä sen eteen ja rajaa, mitä tämä raja kuljettaa. Se pitää vanhan salauksen kurissa ilman, että jokainen etäkäyttäjä perii sen.

Kurissapito ei ole paikkaus, eikä se tee vanhasta isäntäkoneesta luotettavaa.

Migroi tarkistuksilla, jotka sinulla jo on

Migraatio on valmis, kun aiottu vertaiskumppanit yhdistävät ylläpidetyllä profiililla, neuvoteltu kokonaisuus on odotettu ja sovellus toimii. Pidä palvelimen identiteetin vahvistus ja tilitarkistukset voimassa koko ajan; salauksen vaihto ei ole syy höllentää niitä.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Kirjaa asiakas- ja yhdyskäytäväversiot neuvotellun tuloksen viereen, jotta seuraava katsaus voi kertoa, mikä todella muuttui.

Poista vanha sallivuus sen omistajan kautta ja vahvista sitten, että vain poistetun algoritmin tarjoava vertaiskumppani hylätään nyt. Migraatio, joka jättää vanhan vaihtoehdon käyttöön, on migraatio, jota ei tapahtunut. Säilytä hylkäyksen todiste muutostietueen kanssa, koska seuraava auditointi kysyy, mistä tiedät sen, ja poistettu konfiguraatiorivi on heikompi todiste kuin kirjattu hylkäys. Lisää testipäivä ja vertaiskumppanin identiteetti tietueeseen, kun istunto on vielä tuore.

Historialliset tiedot ovat eri ongelma

Vuosia sitten suojatun arkiston lukeminen voi laillisesti vaatia vanhan algoritmin. Se on olemassa olevan materiaalin purkamista, eikä se ole sama tehtävä kuin uuden liikenteen suojaaminen.

Pidä tällainen työ eristetyllä isäntäkoneella, jolla on dokumentoitu tarkoitus ja lyhyt luettelo siitä, kuka saa suorittaa sen.

Ero on tärkeä, koska se on ainoa rehellinen syy pitää käytöstä poistettu salaus saatavilla. Se oikeuttaa rajallisen työkalun, ei koskaan pysyvää riviä julkisessa VPN-profiilissa.