Dield DH-groep, frissende geheimen: wêrom't de oanfal goedkeaper wurdt

Groepsparameters binne fanwege it ûntwerp iepenbier, en krekt dy iepenbierheid makket se maklik te negearjen. Yn einich-fjild-Diffie-Hellman binne de modulus en de generator dield, wylst de privee eksponinten en de resultearjende sesjekaaien dat net binne. De djoere faze fan in oanfal mei in getalfjildsif hinget fan de groep ôf en net fan ien útwikseling, dus in ienige swakke groep dy't oeral brûkt wurdt, wurdt in dielde ferantwurdlikheid. De parameters iepenbier neame is krekt en njonken it punt, want de kosten dy't werbrûkt wurde binne de kosten fan it oanfallen fan dy groep.

De iepenbiere helte is net de kwetsbere helte, en dat is de falstrik

It gewoane heale argumint seit dat de parameters yn in standert publisearre binne, dus in oanfaller ken se al en se ferbergje soe neat feroarje. Beide bewearings binne wier en gjinien folget út 'e oare. In meinommen standertgroep is iepenbier, en in privee groep dy't jo ferline wike makken is ek sichtber foar elkenien dy't de hânskodding foltôget. Geheimhâlding wie nea de kontrôle; krêft en falidaasje binne dat.

Wat wol feroaret, is hoefolle plakken deselde swakte diele. Ien organisaasje dy't syn eigen 2048-bits groep makket, betellet syn eigen oanfalskosten, wylst in protokolstandert dy't miljoenen kieze ien koste oer har allen amortisearret. Yn dy sin is in ûngewoane groep net automatysk better. In ûngewoane groep dy't te lyts is, is gewoan in lytser dield geheim mei minder eagen derop.

Falidaasje is like wichtich as grutte. In partner dy't in modulus mei lytse faktoaren stjoert, of ien dy't net de foarm hat dy't it protokol ferwachtet, kin ynformaasje oer de privee eksponint lekke sels as de bitlingte respektabel liket. Bibleteken dy't misfoarme parameters by de yngong ôfwize, dogge echt wurk, en dêrom is sels skreaune parameteranalyyse in min plak om muoite te sparjen.

Wat de foarberekkening in oanfaller echt leveret

It getalfjildsif hat in faze dy't allinnich fan it priemgetal ôfhinget, en syn útfier is werbrûkber tsjin elke útwikseling dy't dat priemgetal brûkt. Dat is it hiele meganisme efter de histoaryske soarch: it djoere part wurdt ien kear betelle, en de marginale kosten fan elke folgjende sesje sakje. Frisse eksponinten beskermje noch hieltyd elke yndividuele útwikseling tsjin in passive waarnimmer, salang't de groep grut genôch is om it sif ûnmooglik te meitsjen. De twa bewearings binne ferienichber, en de measte diskusjes oer dit ûnderwerp komme derfan dat men ien kiest en de oare falle lit.

It Logjam-wurk út 2015 demonstrearre in ferleging nei 512-bits eksportnivo-Diffie-Hellman en skatte wat it kostje soe om gruttere, breed werbrûkte groepen mei grutte middelen oan te fallen. De demonstraasje wie konkreet, de skattings wiene skattings, en gjin fan beide wie bewiis dat in beskaat VPN-sesje ûntsifere wie.

Sitearje it wurk foar it meganisme en foar de demonstrearre ferleging, net as in mjitting fan jo útrôl. Alde statistiken oer hoefolle tsjinners in standertgroep dielden, beskriuwe it ynternet fan dat jier, net in netwurk dat jo hjoed besjen kinne. Wat nuttich oerbliuwt is de fraach: ûnderhannelje jo apparaten noch in groep dy't lyts of swak falidearre is?

Standert is net itselde as swak

RFC 7919 definiearret neamde einich-fjildgroepen sadat beide kanten it iens wurde oer in groep by identifikaasje en in konsekwinte polityk tapasse. Standert wêze is in foardiel, want it hellet de ûndúdlikheid fan 'e ûnderhanneling fuort en lit in ymplemintaasje net-stipe grutten wegerje. In neamde groep is allinnich swak as syn grutte ûnder it belied sit dat jo sizze te folgjen, net om't er yn in dokumint foarkomt. Deselde logika jildt foar groepen fan elliptyske krommen, dy't in oare struktuer en oare falmodi hawwe.

Hâld de konstruksjes skieden as jo der oer neitinke. In konklúzje oer einich-fjild-Diffie-Hellman seit neat oer X25519, en in konklúzje oer in 1024-bits MODP-groep seit neat oer in 3072-bits iene. Krêftbelied is per meganisme, per grutte en per protokolferzje, en dêrom is de útdrukking sterke kryptografy gjin kontrolearbere bewearing.

Autentikaasje is de oare helte, en dy ferfangt net. In sterke groep sûnder partnerferifikaasje lit in oanfaller yn 'e midden, en in jildich sertifikaat kin in 768-bits útwikseling net rêde. Besjoch se as twa ûnôfhinklike rigels, en befêstigje dan dat beide echt ûnderhannele wurde.

Lês de ûnderhannele groep op in echte ferbining

Lês de ûnderhannele groep fan it apparaat en net út 'e konfiguraasjesjabloan. Sjabloanen beskriuwe bedoeling, en de nijsgjirrige wearde is dy't beide kanten by de lêste hânskodding ôfpraat hawwe. Op in IPsec-einpunt prints de statusútfier meastentiids it keazen foarstel, ynklusyf de MODP-groep.

Fêstje dy rigel foar en nei in beliedswiziging, en hâld beide yn it wizigingsrecord. De ferliking is it bewiis.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

As de status nei de wiziging noch it âlde groep sjen lit, hat de ferbining net opnij ûnderhannele en hat de konfiguraasjewiziging neat bewiisd. Start de partner opnij of wiskje de feiligensassosjaasje, en lês dan wer de status. In belied dat allinnich op nije ferbiningen tapast wurdt, lit langduorjende tunnels op 'e âlde parameters salang't se oerein bliuwe.

Kontrolearje de groep en de identiteit fan 'e partner apart

Skied wat de groep beskermet fan wa't oan 'e oare kant is. Registrearje de kaaiútwikselmetoade, de grutte fan 'e groep en de autentikaasjemetoade as trije fjilden, want se fale ûnôfhinklik. In tunnel dy't in 3072-bits groep ûnderhannele hat mar elk sertifikaat akseptearret, is net itselde risiko as ien dy't in partner fêstset en in 2048-bits groep brûkt.

Skriuw de akseptansekriteria op foardat de beoardieling begjint, sadat it resultaat in ferliking is en net in miening. In minimale groepsgrutte per protokolferzje, in list fan talitten neamde groepen en ferplichte partnerferifikaasje binne genôch om de beslissing meganysk te meitsjen. Ûndúdlikheid yn dy list is wat in beoardieling yn in diskusje feroaret, en diskusjes wurde net ferbettere. Dan is de útfier in list fan einpunten dy't in neamde regel misse.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Slút de sirkel troch de ûnderhannele wearden nei it ferbetterjen opnij te lêzen. In foldwaande konfiguraasjebestân is gjin bewiis dat in tunnel it opnommen hat. De statusútfier en ien frisse hânskodding binne it bewiis, en se sammelje kostet minder tiid as de gearkomste oer de fraach oft se nedich binne.