Segredo cara adiante para unha VPN: que pode abrir unha clave roubada

Gravemos hoxe un túnel cifrado, roubemos o ano que vén a clave privada de longo prazo do servidor e intentemos descifrar a gravación. O segredo cara adiante é a propiedade que di que a clave roubada non abondará por si soa. É unha afirmación sobre sesións gravadas e segredos concretos, non unha promesa xeral de que o túnel fose seguro. Acertar co alcance é o que fai útil o termo.

A pregunta trata dunha gravación, non da sesión en vivo

A clave de longo prazo identifica o extremo e asina o aperto de mans. As claves de sesión cifran o tráfico real e, nun deseño con segredo cara adiante, derívanse de material fresco de intercambio de claves que ambas as partes xeran e logo descartan. Un atacante que só ten a clave de longo prazo non pode reconstruír eses valores descartados. Un atacante que ten o estado de sesión en vivo aínda pode, e por iso a garantía trata do pasado e non do presente.

A afirmación é condicional: só se cumpre se os segredos efémeros realmente se destruíron e o protocolo é o que vostede cre. Unha implantación mixta pode cumprila nun túnel e fallar noutro.

Un segredo non debe reconstruír os demais

Comprobe o modo negociado en lugar da páxina de mercadotecnia. A saída do aperto de mans nomea o intercambio de claves e a versión do protocolo.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

O resumo de s_client mostra a versión de TLS e o grupo de intercambio de claves, e un grupo efémero é o sinal visible dun acordo de claves con segredo cara adiante. A listaxe de swanctl mostra as asociacións IKE e CHILD cos seus temporizadores de renovación de claves, así que pode ver se a implantación renova as claves segundo un calendario. Un intercambio de claves RSA estático, ou un modo de compatibilidade antigo, perde a propiedade sexa cal sexa o nome do cifrado. Anote o modo que observou, non o que anunciaba o provedor.

Renovar as claves non é automaticamente segredo cara adiante

Con que frecuencia renova as claves un túnel é unha cuestión separada de como se deriva cada clave. Un deseño que rexenera claves a partir dun segredo de longo prazo pode renovalas cada minuto e aínda así fallar a proba, porque un compromiso posterior as reconstrúe todas. Ao revés, un protocolo con renovación pouco frecuente pode seguir tendo segredo cara adiante cando cada intercambio é independente. Lea a derivación, non o intervalo, e non confunda un temporizador curto de reconexión cunha garantía criptográfica.

A mesma confusión aparece cos nomes de cifrado: un cifrado moderno non di nada sobre como chegou a súa clave.

Que queda visible despois da garantía

O segredo cara adiante protexe o texto plano das sesións gravadas fronte a un compromiso futuro de claves, e non fai nada contra un atacante que le o tráfico en vivo nun extremo comprometido. Non elimina da gravación os enderezos de destino, o momento nin o volume, e non limita canto tempo un operador conserva os rexistros de conexión. Tampouco converte un cliente comprometido nun de fiar, porque o atacante xa está onde o contido existe en claro.

Cando un provedor afirma ter segredo cara adiante, pregunte que segredo de longo prazo se supón roubado e que segredos de sesión seguen indispoñibles. Se esas dúas preguntas teñen respostas claras, a afirmación significa algo.