Eteenpäin suuntautuva salassapito VPN:lle: mitä varastettu avain voi avata

Tallenna tänään salattu tunneli, varasta ensi vuonna palvelimen pitkäaikainen yksityinen avain ja yritä purkaa tallenteen salaus. Eteenpäin suuntautuva salassapito on ominaisuus, joka sanoo, ettei varastettu avain yksin riitä. Se on väite tallennetuista istunnoista ja tietyistä salaisuuksista, ei yleinen lupaus siitä, että tunneli oli turvallinen. Laajuuden oikea määrittely tekee termistä hyödyllisen.

Kysymys koskee tallennetta, ei elävää istuntoa

Pitkäaikainen avain tunnistaa päätepisteen ja allekirjoittaa kättelyn. Istuntoavaimet salaavat varsinaisen liikenteen, ja eteenpäin suuntautuvan salassapidon mallissa ne johdetaan tuoreesta avaintenvaihtomateriaalista, jonka molemmat osapuolet luovat ja myöhemmin hylkäävät. Hyökkääjä, jolla on vain pitkäaikainen avain, ei voi rakentaa näitä hylättyjä arvoja uudelleen. Hyökkääjä, jolla on elävä istuntotila, voi yhä, ja siksi takuu koskee menneisyyttä eikä nykyhetkeä.

Väite on ehdollinen: se pätee vain, jos efemeeriset salaisuudet todella tuhottiin ja protokolla on se, jota luulet sen olevan. Sekakäyttöönotto voi täyttää sen yhdessä tunnelissa ja epäonnistua toisessa.

Yksi salaisuus ei saa rakentaa muita uudelleen

Tarkista neuvoteltu tila markkinointisivun sijaan. Kättelyn tuloste nimeää avaintenvaihdon ja protokollan version.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

s_client-yhteenveto näyttää TLS-version ja avaintenvaihtoryhmän, ja efemeerinen ryhmä on näkyvä merkki eteenpäin suuntautuvan salassapidon avainsopimuksesta. swanctl-luettelo näyttää IKE- ja CHILD-assosiaatiot sekä niiden avainten uusintaväliä mittaavat ajastimet, joten näet, uusiiko käyttöönotto avaimet aikataulun mukaan. Staattinen RSA-avaintenvaihto tai vanha yhteensopivuustila menettää ominaisuuden salauksen nimestä riippumatta. Kirjaa havaitsemasi tila, älä sitä, jota toimittaja mainosti.

Avainten uusiminen ei ole automaattisesti eteenpäin suuntautuvaa salassapitoa

Kuinka usein tunneli uusii avaimet, on erillinen kysymys siitä, miten kukin avain johdetaan. Malli, joka luo avaimet uudelleen pitkäaikaisesta salaisuudesta, voi uusia avaimet joka minuutti ja silti epäonnistua testissä, koska myöhempi komprometti rakentaa ne kaikki uudelleen. Päinvastoin, protokolla, jonka avainten uusiminen on harvinaista, voi silti olla eteenpäin suuntautuvan salassapidon mukainen, kun jokainen vaihto on riippumaton. Lue johtaminen, älä väliä, äläkä sekoita lyhyttä uudelleenyhdistämisajastinta kryptografiseen takuuseen.

Sama sekaannus näkyy salausnimissä: nykyaikainen salaus ei kerro mitään siitä, miten sen avain saapui.

Mikä jää näkyviin takuun jälkeen

Eteenpäin suuntautuva salassapito suojaa tallennettujen istuntojen selkokielisen tekstin tulevalta avainkomprometilta, eikä se tee mitään hyökkääjälle, joka lukee elävää liikennettä kompromettoidussa päätepisteessä. Se ei poista tallenteesta kohdeosoitteita, ajoitusta tai määrää, eikä se rajoita, kuinka kauan operaattori säilyttää yhteyslokeja. Se ei myöskään tee kompromettoidusta asiakkaasta luotettavaa, koska hyökkääjä istuu jo siellä, missä sisältö on avoimesti näkyvissä.

Kun palveluntarjoaja väittää eteenpäin suuntautuvaa salassapitoa, kysy, mikä pitkäaikainen salaisuus oletetaan varastetuksi ja mitkä istuntosalaisuudet jäävät saataville. Jos näihin kahteen kysymykseen on selvät vastaukset, väite tarkoittaa jotain.