DES kontra 3DES VPN-ben: miért rossz mindkettő frissítésként

Mindkét titkosítás elavult, és egyik sem a megfelelő cél új forgalom számára. A hasznos összehasonlítás nem a DES kontra 3DES; hanem egy kivont algoritmus kontra egy karbantartott. Ha egy átjáró még mindig kínálja valamelyiket, a feladat annak kiderítése, mi igényli, és e követelmény eltávolítása, nem pedig a két zsákutca közül az erősebb kiválasztása.

Az az összehasonlítás, amit az emberek még keresnek, a rossz

A 2000-es években írt válaszok a DES-t a háromszoros DES-sel hasonlítják össze, és arra jutnak, hogy a háromszoros DES erősebb. Akkor ésszerű volt, mára haszontalan, mert mindkettőt kivonták az új forgalom védelméből, és a köztük való választás két zsákutca közötti választás.

A NIST 2005-ben visszavonta a DES szabványt, TDEA-ajánlását pedig 2024 januárjában vonta vissza, miután 2023 végén lejárt a TDEA új kriptográfiai védelemre való alkalmazásának határideje. Ezek a dátumok átmenetet írnak le, nem rangsort. Egy rövid munkamenet vagy egy alacsony értékű üzenet nem nyitja újra a kérdést, mert az algoritmus állapota nem attól függ, meddig használják a kulcsot.

A kulcs megújítása külön kontroll, és nem állítja vissza a jóváhagyást.

Válassza szét a tárgyalást az adatúttól

A VPN-protokollok több helyen tárgyalják a védelmet. Egy vezérlőcsatorna az egyik készletet használhatja, míg a továbbított adat egy másikat, és egy javaslatlista csak azt mondja meg, mit hajlandó elfogadni egy partner. A tárgyalt eredményt olvassa, ne az ajánlatot. Ez a különbség magyarázza a gyakori zavart: egy átjáró még felsorol egy régi algoritmust, és az üzemeltető feltételezi, hogy használatban van, holott felajánlhatják és soha nem választják, vagy csak egyetlen régi partnerhez választják.

IPsec-átjárón a releváns kimenet a biztonsági társítás; OpenVPN esetén a titkosítás és a TLS-beállítások a kapcsolati naplóban. Mindkettő megmondja, mit választottak. Egyiket sem bizonyítja egy régi beállítás, amely még szerepel egy konfigurációs fájlban.

Ha nem látja a tárgyalt eredményt, nem állíthatja, hogy a titkosítást kivonták.

Keresse meg azt az összetevőt, amely még kéri

A régi követelmények három helyről származnak: egy régi kliens, amely semmi jobbat nem kínál, egy átjárószabály, amely még felsorolja az algoritmust, és egy eszköz, amely csak a régi protokollt beszéli. Mindegyikre más a megoldás. Kérdezze meg a korlátozás tulajdonosát, melyik ez, mielőtt kompatibilitási szolgáltatót engedélyez, mert annak engedélyezése minden csatlakozó partnert érint.

Egyetlen eszköznél, amely még nem cserélhető le, helyezzen elé egy karbantartott átjárót, és korlátozza, mit szállít ez a határ. Ez visszatartja a régi titkosítást anélkül, hogy minden távoli felhasználó örökölné.

A visszatartás nem javítás, és nem teszi megbízhatóvá a régi gazdagépet.

Migráljon a már meglévő ellenőrzésekkel

Egy migráció akkor fejeződik be, amikor a tervezett partnerek a karbantartott profillal csatlakoznak, a tárgyalt készlet a várt, és az alkalmazás működik. A kiszolgálóidentitás-ellenőrzést és a fiókellenőrzéseket tartsa végig; a titkosítás cseréje nem ok azok lazítására.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Jegyezze fel a kliens- és átjáróverziókat a tárgyalt eredmény mellé, hogy a következő felülvizsgálat megmondhassa, mi változott valójában.

Vonja vissza a régi engedélyt a tulajdonosán keresztül, majd erősítse meg, hogy a csak a kivont algoritmust kínáló partner most elutasításra kerül. Az a migráció, amely engedélyezve hagyja a régi lehetőséget, olyan migráció, amely nem történt meg. Őrizze meg az elutasítás bizonyítékát a változásrekord mellett, mert a következő audit megkérdezi, honnan tudja, és egy eltávolított konfigurációs sor gyengébb bizonyíték, mint egy naplózott elutasítás. Adja hozzá a teszt dátumát és a partner identitását ahhoz a rekordhoz, amíg a munkamenet friss.

A történelmi adatok más probléma

Egy évekkel ezelőtt védett archívum olvasása jogosan igényelheti a régi algoritmust. Ez a meglévő anyag visszafejtése, és nem ugyanaz a feladat, mint az új forgalom védelme.

Tartsa az ilyen munkát elszigetelt gazdagépen, dokumentált céllal és rövid listával arról, ki futtathatja.

A megkülönböztetés azért fontos, mert ez az egyetlen őszinte ok arra, hogy egy kivont titkosítás elérhető maradjon. Korlátozott hatókörű eszközt indokol, soha nem állandó sort egy nyilvános VPN-profilban.