Cén fáth a bhféadfadh paicéad VPN criptithe costas níos lú ná mar a cheapann tú

Déantar dhá phróifíl a thomhas ar an ngeata céanna, ceann le criptiú agus ceann gan, agus níl an ceann criptithe níos moille. Uaireanta bíonn sé níos tapúla, rud a chruthaíonn argóint fhada de ghnáth faoi ar reáchtáladh an tástáil i gceart. Tá an toradh inchreidte, mar ní hé líon na bhfocal cripteagrafach sa chumraíocht costas paicéid. Is é an tsraith oibríochtaí a dhéanann an cur i bhfeidhm, ar an gcrua-earra atá aige, thar leagan amach an mhaoláin a roghnaigh sé.

An tsiomptóm: ní hé an phróifíl chriptithe an ceann mall

Abair go gcuireann tástáil stairiúil sípher AEAD i gcomparáid le mód „gan criptiú“ a ríomhann cód fíordheimhnithe ar leith in aghaidh an phaicéid fós. Folaíonn an dara próifíl inneachar an ualaigh ach coinníonn sí hais in aghaidh an phaicéid, agus ar phróiseálaí gan luasghéarú don hais sin féadfaidh sí costas níos mó ná an tógáil chomhtháite a bhí le buachan aici.

Deir an lipéad sa chumraíocht „criptiú“, agus is é an lipéad an t-aon rud a bhféachann formhór na gcomparáidí air. Deir conair an phaicéid rud éigin difriúil: déanann próifíl amháin oibríocht chomhcheangailte a bhfuil treoracha ag an LAP di, agus déanann an ceann eile oibríocht ar leith nach bhfuil. Ní nochtfaidh léamh an chomhaid chumraíochta amháin an difríocht sin riamh, mar tá cuma aon líne amháin ar an dá iontráil. Ní thugann ach an mód a idirbheartáíodh agus an chonair chóid taobh thiar de míniú ar an toradh.

Sin an mhíniú iomlán, agus ní éilíonn sé aon éileamh faoi cé acu primitive atá níos tapúla go huilíoch. Féadfaidh an dá cheann a bheith tapa, féadfaidh an dá cheann a bheith mall, agus braitheann an t-ordú ar an meaisín agus ar an gcód.

Líon oibríochtaí, ní lipéid

Tugann tógáil AEAD, mar a chuireann RFC 5116 síos uirthi, comhéadan amháin don chur i bhfeidhm a thugann an téacs síothlaithe agus an chlib ar ais le chéile. Sampla amháin is ea AES-GCM: criptiú i mód comhairimh in éineacht le fíordheimhneoir Galois. Ní dhéanann an comhéadan iomláine saor in aisce; déanann sé an teaglaim a shainmhíniú go maith, agus sin a ligeann do chur i bhfeidhm an péire a bharrfheabhsú mar aonad amháin.

Separate authentication path:
  payload -> independent HMAC -> framed packet

AEAD path:
  payload -> authenticated encryption with tag -> framed packet

Is sceitsí próiseála iad sin, ní comhairle chumraíochta. Níl rúndacht ag an gcéad cheann ach caitheann sé LAP fós le fíordheimhniú, agus is ar an gcúis sin go beacht nach ionann „múch an criptiú“ agus „múch an obair chripteagrafach“.

Féadfaidh an dara ceann a bheith níos saoire mar tugann próiseálaithe treoracha don dá leath: babhtaí AES agus an t-iolrú gan iompar a úsáideann réimse Galois. Próiseálann leabharlanna maoláin neamhspleácha go comhthreomhar freisin, rud a choinníonn na treoracha sin gnóthach in ionad fanacht ar chuimhne.

Cad a chumasaíonn an mód a idirbheartáíodh i ndáiríre

Le Community OpenVPN, ciallaíonn sípher sonraí AEAD nach gcuireann an rogha auth a HMAC leithleach féin de chuid an chainéil sonraí ar fáil a thuilleadh. Cuireann tagairt na rogha criptithe síos ar an raon sin, agus is é sin an fáth go bhféadfadh dhá chumraíocht atá cosúil le chéile i gcomhad téacs a bheith difriúil san obair in aghaidh an phaicéid.

Léigh an mód a idirbheartáíodh seachas an liosta mianta. Ní insíonn liosta síphrí a cheadaítear agus ainm sraith TLS duit cé na hoibríochtaí a reáchtáiltear ar an ualach, agus b’fhéidir nach gcuireann seanlíne cipher síos ar an rud a roghnaigh an nasc reatha.

openvpn --show-ciphers | head -20
sudo grep -E 'cipher|auth' /etc/openvpn/server.conf

Liostaíonn an chéad ordú na síphrí a thacaíonn an dénártha leo, ar liosta cumais é agus ní an toradh a idirbheartáíodh. Taispeánann an dara ceann an rud a iarrann an freastalaí i ndáiríre. Is é log an naisc an áit chun an rogha deiridh a dhearbhú, mar féadfaidh cliant titim ar rud a cheadaíonn an freastalaí ach nár mheabhraigh éinne.

Tomhais an t-ualach oibre a reáchtálann tú i ndáiríre

Tomhaisíonn micreamharc cripteagrafach primitive faoina dhálaí féin. Déanann aistriú VPN maoláin a chóipeáil freisin, scoilteanna nó idirbhuailtí a sceidealú, beartas a sheiceáil agus an líonra a thrasnú. Is minic a bhíonn na codanna sin chun tosaigh, agus is é sin an fáth nach dtáirgeann primitive níos tapúla tollán níos tapúla i gcónaí.

openssl speed -evp aes-256-gcm
openssl speed -evp sha1

Tugann an dá ordú sin duit comparáid áitiúil gharbh de na primitve ar an meaisín os do chomhair, agus tá siad ionraic faoi gur micreamharcanna iad. Ní deir siad faic faoi thrí-líon do tholláin, agus nár cheart iad a lua riamh mar sin.

Ansin tomhais an t-ualach a bhfuil tábhacht leis, agus gach rud eile coinnithe seasmhach: an pointe deiridh céanna, na méideanna paicéid céanna, an t-iompar céanna, an bheartas comhbhrúite céanna. Má d’athraigh an t-athrú próifíle an t-iompar nó an áit phróiseála freisin, cuireann an toradh síos ar an mbaisc sin seachas ar an gcripteagrafaíocht.

Coinnigh an sprioc i radharc freisin. Féadfaidh conair sonraí a bhfuil cumas cripteagrafach breise aici bheith faoi cheangal aga go fóill mar gheall go bhfanann an feidhmchlár ar thurais anonn is anall, agus ní dheisíonn gnóthachain mhóra toilleadh prótacal cainteach. Tomhais an chumraíocht a tacaítear léi agus atá ceadaithe ag beartas ina hiomláine, agus caith le „caithfidh níos lú boscaí a bheith níos tapúla“ mar an hipitéis atá inti. Ní hé an cheist úsáideach an gcostas criptiú rud éigin, ach an dtagann an costas chun solais sa tomhas a bhfuil tábhacht agat leis i ndáiríre.