Haɗaɗɗiyar rukunin DH, sabbin sirri: me ya sa harin ya zama mai sauƙi

Ƙayyadaddun rukunin jama'a ne bisa ƙira, kuma wannan bayyana shi ne ya sa suka zama mai sauƙin watsi da su. A cikin Diffie-Hellman na fili mai iyaka, modulus da janareta ana raba su, amma ɓoyayyun misalan da maɓallan zaman da suka samo asali ba a raba su. Matakin hari mafi tsada na gwargwadon fili na lambobi ya dogara da rukunin maimakon musayar ɗaya, don haka rukuni guda mara ƙarfi da ake amfani da shi a ko'ina ya zama nauyi na gama gari. Kira ƙayyadaddun a matsayin jama'a daidai ne kuma ba ya shafar batun, domin kuɗin da ake sake amfani da shi shi ne kuɗin kai wa wannan rukunin hari.

Rabon jama'a ba shi ne rabon da ake iya lalata ba, kuma nan ne tarko

Al'adar rabin hujja tana cewa an wallafa ƙayyadaddun a cikin ma'auni, don haka mai hari ya riga ya san su kuma ɓoye su ba zai canza kome ba. Dukan maganganun biyu gaskiya ne kuma babu ɗayansu da ya biyo daga ɗayan. Rukunin da aka aika na asali jama'a ne, kuma rukunin sirri da ka ƙirƙira a makon da ya gabata ma ana iya ganinsa ga duk wanda ya kammala musafaha. Sirri ba shi ne kulawa ba; ƙarfi da tabbatarwa ne.

Abin da ke canzawa shi ne yawan wuraren da suke raba raunin ɗaya. Ƙungiya ɗaya da ta ƙirƙira nata rukunin na 2048-bit tana biyan nata kuɗin harin, yayin da tsohon ma'auni na yarjejeniya da miliyoyin suka zaɓa yana raba kuɗi ɗaya a kan dukansu. A wannan ma'ana rukunin da ba a saba da shi ba ya zama mafi kyau kai tsaye. Rukunin da ba a saba da shi ba wanda ya yi ƙanƙanta shi ne kawai ƙaramin sirri na gama gari da ƙananan idanu a kansa.

Tabbatarwa tana da muhimmanci kamar girma. Abokin da ya aika modulus mai ƙananan dalilai, ko wanda ba shi da siffar da yarjejeniya ke tsammani, na iya fallasa bayani game da ɓoyayyen misali ko da tsawon bit ɗin ya yi kyau. Ɗakunan da suke ƙin ƙayyadaddun da ba su da kyau a wurin shiga suna yin aiki na gaske, shi ya sa nazarin ƙayyadaddun da aka yi da hannu wuri ne mara kyau don ceton ƙoƙari.

Abin da lissafin farko ke ba wa mai hari

Gwargwadon fili na lambobi yana da mataki da ya dogara da babban lamba kawai, kuma sakamakonsa ana iya sake amfani da shi a kan kowace musayar da ta yi amfani da wannan babbar lamba. Wannan shi ne dukan tsarin da ke bayan damuwar tarihi: ana biyan ɓangaren mai tsada sau ɗaya, kuma kuɗin kowane zama na gaba yana raguwa. Sabbin misalai har yanzu suna kare kowace musayar ɗaya daga mai kallo mara aiki, muddin rukunin ya isa ya sa gwargwadon ya zama ba zai yiwu ba. Maganganun biyu sun jitu, kuma yawancin muhawara kan wannan batu suna fitowa ne daga ɗaukar ɗaya da watsi da ɗayan.

Takardar Logjam ta 2015 ta nuna raguwa zuwa Diffie-Hellman na 512-bit na matakin fitarwa kuma ta ƙiyasta abin da zai kashe don kai wa manyan rukunoni da ake amfani da su da yawa hari da manyan albarkatu. Nunin ya kasance tabbatacce, ƙiyasin ƙiyasi ne, kuma babu ɗayansu da ya zama hujja cewa an warware wani zaman VPN na musamman.

Ka ambaci takardar don tsarin da kuma raguwar da aka nuna, ba a matsayin ma'aunin turawar ka ba. Tsofaffin ƙididdiga kan yawan sabar da suka raba rukunin asali suna bayanin intanet na wannan shekarar, ba cibiyar sadarwa da za ka iya bincikawa a yau ba. Abin da ya cancanci ɗaukawa shi ne tambaya: shin na'urorinka har yanzu suna yin shawara kan rukuni wanda ya yi ƙanƙanta ko mara kyau tabbatarwa?

Daidaito ba shi ne rauni ba

RFC 7919 yana bayyana rukunonin fili mai iyaka masu suna domin ɓangarorin biyu su amince da rukuni ta hanyar mai ganowa kuma su yi amfani da manufa ɗaya. Kasancewa cikin ma'auni wata fa'ida ce, domin yana kawar da ruɗani na shawara kuma yana barin aiwatarwa ta ƙi girman da ba a goyi baya ba. Rukunin mai suna yana da rauni ne kawai lokacin da girmansa ya yi ƙasa da manufar da ka ce kana bi, ba don ya bayyana a cikin takarda ba. Wannan hankali ɗaya ya shafi rukunonin lanƙwan ellipse, waɗanda suke da wata tsari da wasu hanyoyin gazawa.

Ka ware gine-ginen lokacin da kake tunani akansu. Shawarar game da Diffie-Hellman na fili mai iyaka ba ta ce komai game da X25519 ba, kuma shawara game da rukunin MODP na 1024-bit ba ta ce komai game da na 3072-bit ba. Manufar ƙarfi tana ta kowane tsari, kowane girma da kowane sigar yarjejeniya, shi ya sa jimlar ƙaƙƙarfan kariya ba magana ce da za a iya bita ba.

Tabbatar da asali shi ne rabin na biyu, kuma ba ya maye gurbin. Rukuni mai ƙarfi ba tare da tabbatar da abokin ba yana barin mai hari a tsakiya, kuma ingantaccen takardar shaida ba zai iya ceton musayar 768-bit ba. Ka duba su a matsayin layi biyu masu zaman kansu, sannan ka tabbatar cewa duka biyu ana yin shawara a kansu da gaske.

Karanta rukunin da aka yi shawara a kai a kan haɗin gaske

Karanta rukunin da aka yi shawara a kai daga na'urar ba daga samfurin saitin ba. Samfuran suna bayanin niyya, kuma ƙimar da ta fi burgewa ita ce wadda ɓangarorin biyu suka amince da ita a lokacin musafaha na ƙarshe. A ƙarshen IPsec fitarwar yanayi takan buga shawarar da aka zaɓa, har da rukunin MODP.

Ka kama wannan layin kafin da bayan canjin manufa, kuma ka ajiye duka biyu a cikin rikodin canjin. Kwatancen shi ne hujja.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Idan yanayin har yanzu yana nuna tsohon rukuni bayan canjin, haɗin bai sake yin shawara ba kuma gyaran saitin bai tabbatar da kome ba. Sake kunna abokin ko share ƙungiyar tsaro, sannan ka sake karanta yanayin. Manufar da ake aiwatarwa kawai a kan sabbin haɗe-haɗe za ta bar dogayen ramuka a kan tsofaffin ƙayyadaddun muddin suna nan.

Duba rukuni da asalin abokin dabam

Ka ware abin da rukuni ke karewa daga wanda ke can gefe. Yi rikodin hanyar musayar maɓalli, girman rukuni da hanyar tabbatar da asali a matsayin filaye uku, domin suna gazawa dabam. Ramin da ya yi shawara kan rukunin 3072-bit amma yana karɓar kowace takardar shaida ba shi ne haɗarin da ramin da ke danne aboki kuma yana amfani da rukunin 2048-bit ba.

Rubuta ma'aunin karɓa kafin a fara bita, don sakamakon ya zama kwatanci ba ra'ayi ba. Mafi ƙarancin girman rukuni ga kowace sigar yarjejeniya, jerin izini na rukunonin masu suna da wajabcin tabbatar da aboki sun isa su sa shawarar ta zama ta inji. Ruɗani a cikin wannan jerin shi ne ke mai da bita muhawara, kuma ba a gyara muhawara. Sannan fitarwa ita ce jerin wuraren da suka kasa wata ƙa'ida da aka bayyana.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Rufe da'irar ta hanyar sake karanta ƙimar da aka yi shawara a kai bayan gyara. Fayil ɗin saiti mai jituwa ba hujja ba ce cewa rami ya karɓe shi. Fitarwar yanayi da musafaha ɗaya sabo su ne hujja, kuma tattara su yana ɗaukar lokaci kaɗan fiye da taron kan ko ana buƙatarsu.