Miért nem tesz biztonságosabbá egy VPN-t a nagyobb kulcsszám

A reklám 256 bitet mond, a másik termék 128 bitet mond, és a következtetés nyilvánvalónak tűnik, amíg észre nem veszi, hogy a számok különböző dolgokat írnak le. Egy szimmetrikus titkosítási kulcs, egy tanúsítvány nyilvános kulcsa és egy kulcscsere-paraméter nem mérhető ugyanazon a skálán. Egyik sem fedi le, hogy az ügyfél egyáltalán ellenőrizte-e a szervert. A szám valódi információ, és sokkal szűkebb annál, mint amit a körülötte lévő marketing sugall.

Kérdezze meg, melyik kulcsot számolják és mit véd, mielőtt bármit összehasonlít.

Három kulcs, három feladat

Az adattitkosító titkosítja az alagút hasznos terhelését, és kulcsa munkamenetenként újra származtatódik. A tanúsítvány nyilvános kulcsa a hitelesítés során igazolja egy végpont azonosságát. A kulcscsere lépése, általában efemer Diffie-Hellman-változat, olyan közös titkot hoz létre, amelyet utána egyik fél sem tud újraépíteni. Mindegyiknek megvannak a maga erősség-feltevései és méretezési szokásai.

Ezért a 256 nem rangsorolható a 2048 és a 32 mellett nagyság szerint; különböző kérdésekre adott válaszok.

Még egyetlen szerepen belül is a szám csak a használt algoritmuscsaládhoz viszonyítva mond valamit.

Ahol a szám segít, és ahol megáll

Egy algoritmuson belül a nagyobb kulcs növeli a nyers erővel végzett keresés költségét, a közzétett iránymutatások pedig minimumot szabnak a tanúsítványkulcsoknak, ahogy a számítási teljesítmény változik. Ez jogos és szűk összehasonlítás: az AES-128 és az AES-256 egyaránt széles különbséggel áll ellen a közvetlen támadásnak, így a különbség a gyakorlatban ritkán döntő tényező.

Ezen az összehasonlításon kívül a szám semmit sem jósol a konfigurációs hibákról, a tanúsítványok érvényesítéséről vagy a protokollverzióról.

Olvassa el a teljes egyeztetett csomagot

Amit egy kapcsolat valójában használ, az egy csomag: titkosítási mód, integritási vagy hitelesített titkosítási szerkezet, kulcscsere-csoport és hitelesítési módszer. A megfelelő kézfogású modern AEAD mód más ajánlat, mint a külön MAC-kel párosított régebbi mód, akkor is, amikor a hirdetett kulcsméret azonos.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Az egyeztetett eredményt olvassa, ne a beállított maximumot. Az erős csomagot kínáló ügyfél is gyengén kapcsolódik, ha a szerver a gyengébb lehetőséget választja, és a profil engedi. Ha a teljesítmény a gond, a kérdéses eszközön és útvonalon mérje, mert a kulcsméret gyengén jelzi előre az átvitelt, amint a hardveres gyorsítás és a csomagméret képbe kerül.

A részek, amelyeket egy szám soha nem mér

A szoftver karbantartása az első kihagyás. A javításokat már nem kapó könyvtárra épített alagút gyengébb, mint amit a kulcsmérete sugall, és egyetlen konfigurációs érték sem javítja ezt. Az üzemeltető viselkedése a második: a kapcsolati naplók, a fiókadatok és az ügyfélszolgálati kezelés teljesen a kriptográfián kívül esik. Egy szolgáltatás, amely többet őriz meg a vártnál, nem lesz biztonságosabb egy hosszabb kulcstól.

A partner ellenőrzése a harmadik és a legnagyobb következményű. Az az ügyfél, amely bármilyen tanúsítványt elfogad, erős titkosítást csavar egy nem hitelesített partner köré, ami rosszabb, mint egy szerény titkosítás helyes érvényesítéssel. Ellenőrizze ezt a hármat a szám előtt, és a szám elfoglalja a megfelelő helyét.