AES-256 nasuprot OFB: odaberite potpunu konstrukciju VPN šifre

AES-256 i OFB odgovaraju na različita pitanja i tu pregled šifri pogriješi kada ih tretira kao konkurentske opcije. Jedno imenuje blokovnu šifru s veličinom ključa; drugo opisuje kako se blokovna šifra pretvara u tok za dužu poruku. Priručnik za odabir zaštite mora gledati cijelu konstrukciju, uključujući kako primatelj otkriva izmijenjeni paket.

Imenujte četiri dijela konstrukcije

Svaki pregled svodi se na četiri pitanja: koji primitiv i veličina ključa, kako se poruke obrađuju s njim, kako primatelj odbija neovlaštenu izmjenu i kako protokol upravlja ulazima, ključevima i njihovim trajanjem. Popis poznatih imena odgovara samo na prvo. Drugo i treće su mjesto gdje žive stvarne razlike, a četvrto gdje se implementacije tiho razilaze. Pitajte tim redom i zapišite odgovore.

OFB se pojavljuje među načinima povjerljivosti u NIST publikaciji o načinima blokovnih šifri, a povjerljivost je sve što nudi. Protokol koji spaja način šifriranja s odvojenim MAC-om mora ih ispravno sastaviti, a naziv algoritma ne dokazuje taj sastav. Zato samo ime načina ne može riješiti odluku o uvođenju.

Četvrto pitanje je ono što operator zaista može provjeriti na sustavu koji radi.

Dajte prednost autentificiranoj konstrukciji

Autentificirano šifriranje daje povjerljivost i cjelovitost zajedno, a AEAD konstrukcije štite i pridružene podatke od izmjene bez šifriranja. To je svojstvo zaštite paketa i nema veze s tim je li se osoba uspješno prijavila.

Netgateove Netgateove smjernice za OpenVPN kriptografske postavke upućuju na AEAD opcije, među njima AES-GCM, za kanal podataka, i to je vrsta podržane politike koju treba slijediti. Koristite izbore koje podržavaju instalirano izdanje i partnerski klijenti, umjesto kopiranja povijesnog poretka načina u novo uvođenje. Kompatibilnost sa starim, kripto pozadine i podrška za offload ograničavaju što je stvarno dostupno.

Podržana konstrukcija pobjeđuje pametan sastav svaki put.

Čitajte dogovoreni rezultat, ne ponudu

Šifra na prihvaćenom popisu ne govori ništa o trenutnoj sesiji. Pročitajte dogovorenu zaštitu kanala podataka kod klijenta ili na pristupniku, pa je usporedite s politikom koju ste htjeli provesti. Konfiguracija koja još navodi staru opciju za jednog starog partnera odluka je o kompatibilnosti, a ne tvrdnja o sesiji pred vama.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Na pristupniku je ekvivalentni izlaz sigurnosna asocijacija ili kripto pojedinosti veze, zavisno od platforme. U oba slučaja ponuda i rezultat različite su činjenice. Popis sa starom opcijom za jednog starog partnera ne znači da je svaka sesija koristi, a sesija koja je koristi ono je što ste trebali znati.

Zapišite obje činjenice zajedno, s datumom i verzijom klijenta.

Mjerite samo ono što možete usporediti

Propusnost zavisi od hardvera krajnjih točaka, implementacije, ubrzanja, veličina paketa i odabrane konfiguracije. Ni duljina ključa ni riječ OFB ne govore koje će uvođenje biti brže. Zato je mjerenje s drugog mjesta u najboljem slučaju nagovještaj o hardveru koji posjeduje netko drugi. Vaši brojevi počinju od vaših krajnjih točaka.

Za odobrenu usporedbu držite krajnje točke, radno opterećenje i traženu politiku stalnima i zapišite dogovorenu zaštitu plus verzije implementacija. Zatim procijenite rezultat po tome je li aplikacija završila, koliko je izgubila i što su krajnje točke radile, umjesto da zaključujete cijenu kripta iz jednog testa brzine. Broj proizveden u drugim uvjetima je priča, ne mjerenje.

Ako stari partner ne može ispuniti politiku, to je odluka o kompatibilnosti za njegova vlasnika.

Držite cjelovitost izvan trgovine

Isključivanje provjera cjelovitosti ili prihvaćanje neprovjerenog poslužitelja nije optimizacija performansi i nije popravak kompatibilnosti. Mijenja sigurnosno svojstvo zbog kojeg je konstrukcija odabrana. Isto vrijedi za širenje prihvaćenog popisa šifri dok se stari partner ne poveže: veza uspije i politike više nema.

Upišite prihvaćenu konstrukciju i njezina vlasnika u priručnik, da sljedeća izmjena počne odlukom, a ne sklonošću.

Želite politiku koju obje strane mogu provesti. Rasprava da je jedno ime najjače drugi je razgovor i obično završi bez odluke.