DES nasuprot 3DES u VPN-u: zašto su oba pogrešna nadogradnja

Oba šifrara su zastarjela i nijedan nije pravi cilj za novi promet. Korisna usporedba nije DES protiv 3DES; to je povučeni algoritam protiv održavanog. Ako gateway još nudi bilo koji od njih, posao je pronaći šta ga zahtijeva i ukloniti taj zahtjev, a ne birati jači od dva ćorsokaka.

Usporedba koju ljudi još traže je pogrešna

Odgovori napisani u 2000-ima porede DES sa trostrukim DES-om i zaključuju da je trostruki DES jači. Tada je to bilo razumno, a sada je beskorisno, jer su oba povučena za zaštitu novog prometa i izbor između njih je izbor između dva ćorsokaka.

NIST je povukao standard DES 2005. godine, a njegova preporuka TDEA povučena je u januaru 2024. nakon što je krajem 2023. istekao rok za primjenu TDEA na novu kriptografsku zaštitu. Ti datumi opisuju tranziciju, a ne rangiranje. Kratka sesija ili poruka male vrijednosti ne otvara pitanje ponovo, jer status algoritma ne zavisi od toga koliko se dugo ključ koristi.

Obnavljanje ključa je zasebna kontrola i ne vraća odobrenje.

Odvojite pregovaranje od putanje podataka

VPN protokoli pregovaraju zaštitu na više mjesta. Kontrolni kanal može koristiti jedan skup dok preneseni podaci koriste drugi, a lista prijedloga govori samo šta je peer spreman prihvatiti. Čitajte pregovarani rezultat, ne ponudu. Ta razlika objašnjava čestu zabunu: gateway još navodi stari algoritam i operater pretpostavlja da se koristi, dok se on može nuditi i nikada ne izabrati, ili izabrati samo za jedan stari peer.

Na IPsec gatewayu relevantni izlaz je sigurnosna asocijacija; na OpenVPN to su šifra i TLS postavke u dnevniku veze. Oba govore šta je izabrano. Nijedno se ne dokazuje time što stara opcija još postoji u konfiguracijskoj datoteci.

Ako ne vidite pregovarani rezultat, ne možete tvrditi da je šifrar povučen.

Pronađite komponentu koja ga još traži

Zahtjevi za naslijeđene sisteme dolaze sa tri mjesta: stari klijent koji ne nudi ništa bolje, politika gatewaya koja još navodi algoritam i uređaj koji govori samo stari protokol. Svaki ima drugačije rješenje. Pitajte vlasnika ograničenja koje je od njih prije nego omogućite pružaoca kompatibilnosti, jer njegovo omogućavanje utiče na svakog peera koji se povezuje.

Za jedan uređaj koji se još ne može zamijeniti, stavite održavani gateway ispred njega i ograničite šta ta granica prenosi. To obuzdava stari šifrar bez toga da ga svaki udaljeni korisnik naslijedi.

Obuzdavanje nije zakrpa i ne čini stari host pouzdanim.

Migrirajte s provjerama koje već imate

Migracija je završena kada se predviđeni peerovi povežu s održavanim profilom, pregovarani skup bude onaj koji ste očekivali i aplikacija radi. Provjeru identiteta servera i provjere računa držite na mjestu sve vrijeme; promjena šifre nije razlog da ih opustite.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Zapišite verzije klijenta i gatewaya uz pregovarani rezultat, kako bi sljedeći pregled mogao reći šta se zaista promijenilo.

Povucite staro odobrenje preko njegovog vlasnika, zatim potvrdite da se peer koji nudi samo povučeni algoritam sada odbija. Migracija koja ostavlja staru opciju omogućenom je migracija koja se nije dogodila. Čuvajte dokaz o odbijanju uz zapis o promjeni, jer će sljedeća revizija pitati kako to znate, a uklonjena konfiguracijska linija slabiji je dokaz od zabilježenog odbijanja. Dodajte datum testa i identitet peera u taj zapis dok je sesija još svježa.

Historijski podaci su drugi problem

Čitanje arhive zaštićene prije godinama može legitimno zahtijevati stari algoritam. To je dešifriranje postojećeg materijala i nije isti zadatak kao zaštita novog prometa.

Takav rad držite na izolovanom hostu s dokumentovanom svrhom i kratkim spiskom ko ga smije izvoditi.

Ta razlika je važna jer je to jedini iskren razlog da povučeni šifrar ostane dostupan. On opravdava ograničen alat, nikada stalnu liniju u javnom VPN profilu.