AES-256 vagy OFB: válasszon teljes VPN-titkosítási konstrukciót

Az AES-256 és az OFB különböző kérdésekre válaszol, és itt hibáznak a titkosítási áttekintések, amikor versengő lehetőségként kezelik őket. Az egyik blokk-rejtjelezőt nevez meg kulcsmérettel; a másik leírja, hogyan alakul a blokk-rejtjelező folyammá egy hosszabb üzenethez. A védelemválasztás kézikönyvének a teljes konstrukciót kell néznie, beleértve azt is, hogyan ismeri fel a fogadó a módosított csomagot.

Nevezze meg a konstrukció négy részét

Minden áttekintés négy kérdésre vezethető vissza: melyik primitív és kulcsméret, hogyan dolgozzák fel vele az üzeneteket, hogyan utasítja el a fogadó a jogosulatlan módosítást, és hogyan kezeli a protokoll a bemeneteket, a kulcsokat és azok élettartamát. Az ismert nevek listája csak az elsőre válaszol. A második és a harmadik az, ahol a valódi különbségek élnek, a negyedik pedig az, ahol a megvalósítások csendben szétválnak. Tegye fel őket ebben a sorrendben, és írja le a válaszokat.

Az OFB szerepel a bizalmassági üzemmódok között a NIST blokk-rejtjelező üzemmódokról szóló kiadványában, és a bizalmasság minden, amit nyújt. A titkosítási üzemmódot külön MAC-cal párosító protokollnak helyesen kell összeállítania őket, és az algoritmus neve nem bizonyítja ezt az összeállítást. Ezért az üzemmód neve önmagában nem dönthet a bevezetésről.

A negyedik kérdés az, amit az üzemeltető valóban ellenőrizhet a futó rendszeren.

A hitelesített konstrukciót részesítse előnyben

A hitelesített titkosítás a bizalmasságot és a sértetlenséget együtt adja, az AEAD-konstrukciók pedig a kapcsolt adatokat is védik a módosítástól anélkül, hogy titkosítanák őket. Ez a csomagvédelem tulajdonsága, és semmi köze ahhoz, hogy egy ember sikeresen bejelentkezett-e.

A Netgate A Netgate útmutatója az OpenVPN titkosítási beállításaihoz az adatcsatornához AEAD-lehetőségeket jelöl meg, köztük az AES-GCM-et, és ez az a fajta támogatott politika, amelyet követni kell. Azokat a választásokat használja, amelyeket a telepített kiadás és a partnerügyfelek támogatnak, ahelyett hogy egy történelmi üzemmódrangsort másolna egy új bevezetésbe. Az örökölt kompatibilitás, a kriptográfiai háttérmotorok és az offload-támogatás mind korlátozzák, mi érhető el valójában.

A támogatott konstrukció minden alkalommal legyőzi az okos összeállítást.

A tárgyalt eredményt olvassa, ne az ajánlatot

Egy rejtjelező, amely elfogadott listán szerepel, semmit nem mond a jelenlegi munkamenetről. Olvassa ki a tárgyalt adatcsatorna-védelmet az ügyféltől vagy az átjárótól, majd hasonlítsa össze azzal a politikával, amelyet érvényesíteni akart. Az a konfiguráció, amely még mindig felsorol egy örökölt lehetőséget egy régi partnerhez, kompatibilitási döntés, nem állítás az Ön előtt álló munkamenetről.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Átjárón a megfelelő kimenet a biztonsági társítás vagy a kapcsolat kriptográfiai részletei, a platformtól függően. Mindkét esetben az ajánlat és az eredmény különböző tények. Egy régi partnerhez örökölt lehetőséget tartalmazó lista nem jelenti azt, hogy minden munkamenet azt használja, és az a munkamenet, amely használja, az, amit tudnia kellett.

Rögzítse a két tényt együtt, a dátummal és az ügyfél verziójával.

Csak azt mérje, amit össze tud hasonlítani

Az átviteli sebesség a végpontok hardverétől, a megvalósítástól, a gyorsítástól, a csomagméretektől és a választott konfigurációtól függ. Sem a kulcshossz, sem az OFB szó nem mondja meg, melyik bevezetés lesz gyorsabb. Ezért egy másik oldal mérése legfeljebb utalás valaki más hardverére. A saját számai a saját végpontjainál kezdődnek.

Engedélyezett összehasonlításhoz tartsa állandóan a végpontokat, a munkaterhelést és az előírt politikát, és rögzítse a tárgyalt védelmet, valamint a megvalósítások verzióit. Utána az alapján ítélje meg az eredményt, hogy az alkalmazás befejeződött-e, mennyit veszített és mit csináltak a végpontok, ahelyett hogy egyetlen sebességtesztből vezetné le a kriptoköltséget. Más körülmények között termelt szám történet, nem mérés.

Ha egy régi partner nem tudja teljesíteni a politikát, az az ő tulajdonosának kompatibilitási döntése.

Tartsa a sértetlenséget az üzleten kívül

A sértetlenségi ellenőrzések kikapcsolása vagy egy nem ellenőrzött kiszolgáló elfogadása nem teljesítményoptimalizálás, és nem kompatibilitási javítás. Megváltoztatja azt a biztonsági tulajdonságot, amelyre a konstrukciót választották. Ugyanez vonatkozik az elfogadott rejtjelezőlista bővítésére, amíg egy régi partner csatlakozik: a kapcsolat sikeres lesz, és a politika már nem létezik.

Írja be az elfogadott konstrukciót és tulajdonosát a kézikönyvbe, hogy a következő változás döntésből induljon ki, ne preferenciából.

Amit szeretne, az egy olyan politika, amelyet mindkét fél érvényesíteni tud. Az a vita, hogy melyik név a legerősebb, más beszélgetés, és általában döntés nélkül ér véget.