DES מול 3DES ב-VPN: מדוע שניהם השדרוג הלא נכון

שתי ההצפנות מיושנות, ואף אחת מהן אינה היעד הנכון לתעבורה חדשה. ההשוואה המועילה אינה DES מול 3DES; היא אלגוריתם שהוצא משימוש מול אלגוריתם מתוחזק. אם שער עדיין מציע אחד מהשניים, המשימה היא למצוא מה דורש אותו ולהסיר את הדרישה הזו, ולא לבחור את החזק מבין שני מבוי סתום.

ההשוואה שאנשים עדיין מחפשים היא הלא נכונה

תשובות שנכתבו בשנות ה-2000 משוות DES ל-DES משולש ומסיקות ש-DES משולש חזק יותר. זה היה סביר אז וחסר תועלת עכשיו, כי שניהם הוצאו משימוש להגנת תעבורה חדשה והבחירה ביניהם היא בחירה בין שני מבוי סתום.

NIST משך את תקן DES ב-2005, והמלצת ה-TDEA שלו נמשכה בינואר 2024 לאחר שפג המועד ליישום TDEA על הגנה קריפטוגרפית חדשה בסוף 2023. התאריכים האלה מתארים מעבר, לא דירוג. הפעלה קצרה או הודעה בעלת ערך נמוך אינן פותחות מחדש את השאלה, כי סטטוס האלגוריתם אינו תלוי בכמה זמן משתמשים במפתח.

חידוש מפתח הוא בקרה נפרדת, והוא אינו מחזיר את האישור.

הפרידו את המשא ומתן מנתיב הנתונים

פרוטוקולי VPN מנהלים משא ומתן על הגנה ביותר ממקום אחד. ערוץ בקרה עשוי להשתמש בחבילה אחת בעוד הנתונים הנישאים משתמשים באחרת, ורשימת הצעות אומרת רק מה עמית מוכן לקבל. קראו את התוצאה שנקבעה, לא את ההצעה. ההבחנה הזו מסבירה בלבול נפוץ: שער עדיין מפרט אלגוריתם ישן ומפעיל מניח שהוא בשימוש, בעוד שהוא עשוי להיות מוצע ולא נבחר לעולם, או להיבחר רק עבור עמית ישן אחד.

בשער IPsec הפלט הרלוונטי הוא אסוציאציית האבטחה; ב-OpenVPN אלה הם ההצפנה והגדרות ה-TLS ביומן החיבור. שניהם אומרים מה נבחר. אף אחד מהם אינו מוכח על ידי אפשרות ישנה שעוד קיימת בקובץ תצורה.

אם אינכם יכולים לראות את התוצאה שנקבעה, אינכם יכולים לטעון שההצפנה הוצאה משימוש.

מצאו את הרכיב שעדיין דורש אותה

דרישות ישנות מגיעות משלושה מקומות: לקוח ישן שאינו מציע דבר טוב יותר, מדיניות שער שעוד מפרטת את האלגוריתם, והתקן שמדבר רק את הפרוטוקול הישן. לכל אחד תיקון אחר. שאלו את בעל האילוץ איזה מהם זה לפני שמפעילים ספק תאימות, כי הפעלתו משפיעה על כל עמית שמתחבר.

עבור התקן אחד שאי אפשר עדיין להחליף, הציבו שער מתוחזק לפניו והגבילו מה הגבול הזה נושא. זה מכיל את ההצפנה הישנה בלי לגרום לכל משתמש מרוחק לרשת אותה.

הכלה אינה טלאי, והיא אינה הופכת את המארח הישן לאמין.

הגרו עם הבדיקות שכבר יש לכם

הגירה מסתיימת כשהעמיתים המיועדים מתחברים עם הפרופיל המתוחזק, החבילה שנקבעה היא זו שציפיתם לה, והיישום עובד. שמרו על אימות זהות השרת ובדיקות החשבון לאורך כל הדרך; שינוי הצפנה אינו סיבה להרפות מהן.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

רשמו את גרסאות הלקוח והשער לצד התוצאה שנקבעה, כדי שהסקירה הבאה תדע מה באמת השתנה.

הסירו את ההיתר הישן דרך הבעלים שלו, ואז אשרו שעמית שמציע רק את האלגוריתם שהוצא משימוש נדחה כעת. הגירה שמשאירה את האפשרות הישנה פעילה היא הגירה שלא קרתה. שמרו את הראיה לדחייה עם רשומת השינוי, כי הביקורת הבאה תשאל איך אתם יודעים, ושורת תצורה שהוסרה היא ראיה חלשה מדחייה מתועדת. הוסיפו את תאריך הבדיקה ואת זהות העמית לרשומה הזו כל עוד ההפעלה טרייה.

נתונים היסטוריים הם בעיה אחרת

קריאת ארכיון שהוגן לפני שנים עשויה לדרוש באופן לגיטימי את האלגוריתם הישן. זה פענוח של חומר קיים, וזו אינה אותה משימה כמו הגנת תעבורה חדשה.

שמרו עבודה כזו על מארח מבודד עם מטרה מתועדת ורשימה קצרה של מי רשאי להריץ אותה.

ההבחנה חשובה כי זה הסיבה הישרה היחידה להשאיר הצפנה שהוצאה משימוש זמינה. היא מצדיקה כלי מוגבל בהיקפו, ולעולם לא שורה קבועה בפרופיל VPN ציבורי.