DES tsjin 3DES yn in VPN: wêrom't beide de ferkearde upgrade binne

Beide sifers binne ferâldere, en gjin fan beide is it goede doel foar nij ferkear. De nuttige fergeliking is net DES tsjin 3DES; it is in útfasearre algoritme tsjin in ûnderhâlden ien. As in gateway noch ien fan beide biedt, is it wurk om te finen wat it freget en dy eask fuort te heljen, net om de sterkere fan twa deade einen te kiezen.

De fergeliking dy't minsken noch sykje is de ferkearde

Antwurden skreaun yn 'e 2000er jierren fergelykje DES mei trijefâldich DES en konkludzje dat trijefâldich DES sterker is. Dat wie doe ridlik en is no nutteleas, om't beide útfasearre binne foar it beskermjen fan nij ferkear en de kar tusken har is in kar tusken twa deade einen.

NIST luts de DES-standert yn 2005 werom, en syn TDEA-oanbefelling waard yn jannewaris 2024 weromlutsen nei't de deadline foar it tapassen fan TDEA op nije kryptografyske beskerming ein 2023 ferstrutsen wie. Dy datums beskriuwe in oergong, gjin ranglist. In koarte sesje of in berjocht fan lege wearde iepenet de fraach net op 'e nij, om't de status fan it algoritme net ôfhinget fan hoe lang de kaai brûkt wurdt.

Kaaifernijing is in aparte kontrôle, en it herstelt de goedkarring net.

Skied de ûnderhanneling fan it gegevenspaad

VPN-protokollen ûnderhannelje beskerming op mear as ien plak. In kontrôlekanaal kin ien set brûke wylst de ferfierde gegevens in oare brûke, en in foarstel-list seit allinnich wat in peer ree is te akseptearjen. Lês it ûnderhannele resultaat, net it oanbod. Dat ûnderskie ferklearret in faak foarkommende betizing: in gateway listet noch in âld algoritme en in operator nimt oan dat it brûkt wurdt, wylst it oanbean wurde kin en nea keazen, of allinnich foar ien âlde peer keazen.

Op in IPsec-gateway is de relevante útfier de feilichheidsassosjaasje; op OpenVPN binne it de sifer- en TLS-ynstellings yn it ferbiningslog. Beide fertelle wat keazen is. Gjin fan beide wurdt bewiisd troch in âlde opsje dy't noch yn in konfiguraasjebestân stiet.

As jo it ûnderhannele resultaat net sjen kinne, kinne jo net bewearje dat de sifer útfasearre is.

Fyn it ûnderdiel dat it noch freget

Easken foar âlde systemen komme fan trije plakken: in âlde klant dy't neat better biedt, in gatewaybelied dat it algoritme noch listet, en in apparaat dat allinnich it âlde protokol praat. Elk hat in oare oplossing. Freegje de eigner fan 'e beheining hokker it is foardat jo in kompatibiliteitsprovider ynskeakelje, om't it ynskeakeljen derfan elke peer beynfloedet dy't ferbynt.

Foar ien apparaat dat noch net ferfongen wurde kin, set in ûnderhâlden gateway derfoar en behein wat dy grins ferfiert. Dat befettet de âlde sifer sûnder dat elke opôfstân brûker it erft.

Beheining is gjin patch, en it makket de âlde host net betrouber.

Migrearje mei de kontrôles dy't jo al hawwe

In migraasje is dien as de bedoelde peers ferbine mei it ûnderhâlden profyl, de ûnderhannele set de iene is dy't jo ferwachten, en de applikaasje wurket. Hâld de ferifikaasje fan serveridentiteit en de akkountkontrôles hieltyd yn stân; in siferferoaring is gjin reden om se te ferslappen.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Skriuw de ferzjes fan klant en gateway njonken it ûnderhannele resultaat, sadat de folgjende beoardieling sjen kin wat echt feroare is.

Lûk de âlde tastimming werom fia syn eigner, en befêstigje dan dat in peer dy't allinnich it útfasearre algoritme biedt no wegere wurdt. In migraasje dy't de âlde opsje ynskeakele lit, is in migraasje dy't net bard is. Bewarje it bewiis fan 'e wegering by it feroaringsregister, om't de folgjende audit freegje sil hoe't jo it witte, en in fuortsmiten konfiguraasjeline is swakker bewiis as in registrearre wegering. Foegje de testdatum en de identiteit fan 'e peer ta oan dat register wylst de sesje noch farsk is.

Histoaryske gegevens binne in oar probleem

It lêzen fan in argyf dat jierren lyn beskerme waard, kin gerjochtich it âlde algoritme fereaskje. Dat is ûntsifering fan besteand materiaal, en it is net deselde taak as it beskermjen fan nij ferkear.

Hâld sok wurk op in isolearre host mei in dokumintearre doel en in koarte list fan wa't it útfiere mei.

It ûnderskie is wichtich, om't it de iennichste earlike reden is om in útfasearre sifer beskikber te hâlden. It rjochtfeardiget in beheind helpmiddel, nea in permaninte rigel yn in iepenbier VPN-profyl.