VPN में DES बनाम 3DES: दोनों गलत अपग्रेड क्यों हैं

दोनों सिफ़र अप्रचलित हैं, और इनमें से कोई भी नए ट्रैफ़िक के लिए सही लक्ष्य नहीं है। उपयोगी तुलना DES बनाम 3DES नहीं है; यह एक सेवानिवृत्त एल्गोरिद्म बनाम एक अनुरक्षित एल्गोरिद्म है। अगर कोई गेटवे अभी भी इनमें से कोई एक प्रदान करता है, तो काम यह पता लगाना है कि किस चीज़ को इसकी आवश्यकता है और उस आवश्यकता को हटाना है, न कि दो बंद रास्तों में से मज़बूत चुनना।

जिस तुलना को लोग अभी भी खोजते हैं, वह गलत है

2000 के दशक में लिखे गए उत्तर DES की तुलना तिगुने DES से करते हैं और निष्कर्ष निकालते हैं कि तिगुना DES अधिक मज़बूत है। तब यह उचित था और अब बेकार है, क्योंकि दोनों नए ट्रैफ़िक की सुरक्षा के लिए सेवानिवृत्त हो चुके हैं और उनके बीच चुनाव दो बंद रास्तों के बीच का चुनाव है।

NIST ने 2005 में DES मानक वापस लिया, और इसकी TDEA सिफ़ारिश जनवरी 2024 में वापस ली गई, जब 2023 के अंत में नई क्रिप्टोग्राफ़िक सुरक्षा पर TDEA लागू करने की समय-सीमा बीत गई। वे तारीखें एक संक्रमण का वर्णन करती हैं, कोई रैंकिंग नहीं। छोटा सत्र या कम मूल्य का संदेश प्रश्न को फिर से नहीं खोलता, क्योंकि एल्गोरिद्म की स्थिति इस पर निर्भर नहीं करती कि कुंजी कितने समय तक उपयोग होती है।

कुंजी नवीनीकरण एक अलग नियंत्रण है, और यह अनुमोदन बहाल नहीं करता।

बातचीत को डेटा पथ से अलग करें

VPN प्रोटोकॉल एक से अधिक स्थानों पर सुरक्षा पर बातचीत करते हैं। नियंत्रण चैनल एक सूट का उपयोग कर सकता है जबकि ले जाया जाने वाला डेटा दूसरे का, और प्रस्ताव सूची केवल यह बताती है कि सहकर्मी क्या स्वीकार करने को तैयार है। बातचीत का परिणाम पढ़ें, प्रस्ताव नहीं। यह अंतर एक आम भ्रम को समझाता है: गेटवे अभी भी एक पुराना एल्गोरिद्म सूचीबद्ध करता है और ऑपरेटर मान लेता है कि यह उपयोग में है, जबकि इसे प्रस्तावित किया जा सकता है और कभी चुना नहीं जा सकता, या केवल एक पुराने सहकर्मी के लिए चुना जा सकता है।

IPsec गेटवे पर प्रासंगिक आउटपुट सुरक्षा संगठन है; OpenVPN पर यह कनेक्शन लॉग में सिफ़र और TLS सेटिंग्स है। दोनों बताते हैं कि क्या चुना गया। कॉन्फ़िगरेशन फ़ाइल में अभी भी मौजूद पुराने विकल्प से कोई भी सिद्ध नहीं होता।

यदि आप बातचीत का परिणाम नहीं देख सकते, तो आप यह दावा नहीं कर सकते कि सिफ़र सेवानिवृत्त हो गया।

उस घटक को खोजें जो अभी भी इसकी माँग करता है

पुरानी आवश्यकताएँ तीन जगहों से आती हैं: एक पुराना क्लाइंट जो कुछ बेहतर प्रदान नहीं करता, एक गेटवे नीति जो अभी भी एल्गोरिद्म सूचीबद्ध करती है, और एक उपकरण जो केवल पुराना प्रोटोकॉल बोलता है। प्रत्येक का अलग समाधान है। संगतता प्रदाता सक्षम करने से पहले बाधा के स्वामी से पूछें कि इनमें से कौन-सा है, क्योंकि इसे सक्षम करना हर जुड़ने वाले सहकर्मी को प्रभावित करता है।

एक ऐसे उपकरण के लिए जिसे अभी बदला नहीं जा सकता, उसके सामने एक अनुरक्षित गेटवे रखें और सीमित करें कि वह सीमा क्या ले जाती है। यह पुराने सिफ़र को रोकता है, बिना हर दूरस्थ उपयोगकर्ता को उसे विरासत में दिए।

नियंत्रण कोई पैच नहीं है, और यह पुराने होस्ट को भरोसेमंद नहीं बनाता।

उन जाँचों के साथ माइग्रेट करें जो आपके पास पहले से हैं

माइग्रेशन तब पूरा होता है जब इच्छित सहकर्मी अनुरक्षित प्रोफ़ाइल के साथ जुड़ते हैं, बातचीत किया गया सूट वही होता है जिसकी आपने अपेक्षा की थी, और एप्लिकेशन काम करता है। सर्वर पहचान सत्यापन और खाता जाँचें पूरे समय बनाए रखें; सिफ़र परिवर्तन उन्हें ढीला करने का कारण नहीं है।

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

बातचीत के परिणाम के बगल में क्लाइंट और गेटवे संस्करण दर्ज करें, ताकि अगली समीक्षा बता सके कि वास्तव में क्या बदला।

इसके स्वामी के माध्यम से पुरानी अनुमति सेवानिवृत्त करें, फिर पुष्टि करें कि केवल सेवानिवृत्त एल्गोरिद्म प्रदान करने वाला सहकर्मी अब अस्वीकार किया जाता है। जो माइग्रेशन पुराने विकल्प को सक्षम छोड़ता है, वह ऐसा माइग्रेशन है जो हुआ ही नहीं। अस्वीकृति का साक्ष्य परिवर्तन रिकॉर्ड के साथ रखें, क्योंकि अगली ऑडिट पूछेगी कि आपको कैसे पता, और हटाई गई कॉन्फ़िगरेशन पंक्ति लॉग किए गए अस्वीकरण से कमज़ोर साक्ष्य है। सत्र ताज़ा रहते ही उस रिकॉर्ड में परीक्षण तिथि और सहकर्मी की पहचान जोड़ें।

ऐतिहासिक डेटा एक अलग समस्या है

वर्षों पहले सुरक्षित किए गए संग्रह को पढ़ने के लिए वैध रूप से पुराने एल्गोरिद्म की आवश्यकता हो सकती है। यह मौजूदा सामग्री का डिक्रिप्शन है, और यह नए ट्रैफ़िक की सुरक्षा जैसा वही कार्य नहीं है।

ऐसा काम एक पृथक होस्ट पर रखें जिसका उद्देश्य प्रलेखित हो और कौन इसे चला सकता है इसकी छोटी सूची हो।

यह अंतर मायने रखता है क्योंकि सेवानिवृत्त सिफ़र को उपलब्ध रखने का यही एकमात्र ईमानदार कारण है। यह सीमित दायरे के उपकरण को न्यायसंगत ठहराता है, सार्वजनिक VPN प्रोफ़ाइल में कभी स्थायी पंक्ति को नहीं।