AES-256 ընդդեմ OFB-ի. ընտրեք VPN ծածկագրման ամբողջական կառուցվածք

AES-256-ը և OFB-ն պատասխանում են տարբեր հարցերի, և հենց այստեղ են սխալվում ծածկագրերի վերանայումները, երբ դրանք դիտարկվում են որպես մրցակցող տարբերակներ: Մեկը նշում է բլոկային ծածկագիր բանալու չափով, մյուսը նկարագրում է, թե ինչպես է բլոկային ծածկագիրը վերածվում հոսքի ավելի երկար հաղորդագրության համար: Պաշտպանության ընտրության ուղեցույցը պետք է նայի ամբողջ կառուցվածքին, ներառյալ այն, թե ինչպես է ստացողը հայտնաբերում փոփոխված փաթեթը:

Անվանեք կառուցվածքի չորս մասերը

Յուրաքանչյուր վերանայում հանգում է չորս հարցի. ո՞ր պրիմիտիվը և բանալու չափը, ինչպե՞ս են մշակվում հաղորդագրությունները դրանով, ինչպե՞ս է ստացողը մերժում չարտոնված փոփոխությունը, և ինչպե՞ս է արձանագրությունը կառավարում մուտքերը, բանալիները և դրանց կյանքը: Ծանոթ անունների ցանկը պատասխանում է միայն առաջինին: Երկրորդն ու երրորդն այնտեղ են, որտեղ իրական տարբերություններն են, իսկ չորրորդը՝ որտեղ իրականացումները լուռ տարբերվում են: Հարցրեք այդ հերթականությամբ և գրեք պատասխանները:

OFB-ն հանդիպում է գաղտնիության ռեժիմների մեջ NIST-ի բլոկային ծածկագրերի ռեժիմների հրապարակման մեջ, և գաղտնիությունը միակն է, ինչ այն տալիս է: Արձանագրությունը, որը զուգակցում է ծածկագրման ռեժիմը առանձին MAC-ի հետ, պետք է դրանք ճիշտ կազմի, և ալգորիթմի անունը չի ապացուցում այդ կազմը: Այդ պատճառով ռեժիմի անունը միայնակ չի կարող լուծել տեղաբաշխման որոշումը:

Չորրորդ հարցն այն է, ինչ օպերատորը կարող է իսկապես ստուգել աշխատող համակարգում:

Նախապատվություն տվեք վավերացված կառուցվածքին

Վավերացված ծածկագրումը տալիս է գաղտնիություն և ամբողջականություն միասին, իսկ AEAD կառուցվածքները պաշտպանում են նաև կապված տվյալները փոփոխությունից՝ առանց դրանք ծածկագրելու: Սա փաթեթների պաշտպանության հատկություն է և կապ չունի այն բանի հետ, թե արդյոք մարդը հաջողությամբ մուտք է գործել:

Netgate-ի Netgate-ի OpenVPN ծածկագրման կարգավորումների ուղեցույց մատնանշում է AEAD տարբերակները, ներառյալ AES-GCM-ը, տվյալների ալիքի համար, և սա այն աջակցվող քաղաքականությունն է, որին պետք է հետևել: Օգտագործեք այն ընտրությունները, որոնք աջակցում են տեղադրված թողարկումը և հավասարակից հաճախորդները, փոխարենը պատմական ռեժիմների ցանկը նոր տեղաբաշխման մեջ պատճենելու: Հին համատեղելիությունը, ծածկագրման հետին պլանները և offload-ի աջակցությունը սահմանափակում են իրականում հասանելիը:

Աջակցվող կառուցվածքը հաղթում է խորամանկ կազմին ամեն անգամ:

Կարդացեք համաձայնեցված արդյունքը, ոչ թե առաջարկը

Ընդունված ցանկում ծածկագրի հայտնվելը ոչինչ չի ասում ընթացիկ սեսիայի մասին: Կարդացեք համաձայնեցված տվյալների ալիքի պաշտպանությունը հաճախորդից կամ դարպասից, ապա համեմատեք այն քաղաքականության հետ, որը ցանկանում էիք կիրառել: Կազմաձևը, որը դեռ թվարկում է հին տարբերակ մեկ հին հավասարակցի համար, համատեղելիության որոշում է, ոչ թե հայտարարություն ձեր առջև եղած սեսիայի մասին:

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Դարպասի վրա համարժեք ելքը անվտանգության ասոցիացիան կամ կապի ծածկագրման մանրամասներն են՝ կախված հարթակից: Երկու դեպքում էլ առաջարկը և արդյունքը տարբեր փաստեր են: Մեկ հին հավասարակցի համար հին տարբերակ պարունակող ցանկը չի նշանակում, որ յուրաքանչյուր սեսիա օգտագործում է այն, և այն սեսիան, որն օգտագործում է, այն է, ինչ պետք էր իմանալ:

Գրանցեք երկու փաստերը միասին՝ ամսաթվով և հաճախորդի տարբերակով:

Չափեք միայն այն, ինչ կարելի է համեմատել

Թողունակությունը կախված է ծայրերի սարքավորումից, իրականացումից, արագացումից, փաթեթների չափերից և ընտրված կազմաձևից: Ոչ բանալու երկարությունը, ոչ OFB բառը ձեզ չեն ասի, թե որ տեղաբաշխումն ավելի արագ կլինի: Այդ պատճառով այլ կայքի չափումը լավագույն դեպքում ակնարկ է սարքավորումի մասին, որը պատկանում է ուրիշին: Ձեր թվերը սկսվում են ձեր սեփական ծայրերից:

Թույլատրված համեմատության համար պահեք ծայրերը, աշխատանքային բեռը և պահանջվող քաղաքականությունը անփոփոխ, և գրանցեք համաձայնեցված պաշտպանությունը և իրականացումների տարբերակները: Ապա գնահատեք արդյունքը ըստ այն բանի, թե արդյոք հավելվածն ավարտվեց, որքան կորցրեց և ինչ էին անում ծայրերը, փոխարենը մեկ արագության թեստից ծածկագրման արժեքը եզրակացնելու: Այլ պայմաններում արտադրված թիվը պատմություն է, ոչ թե չափում:

Եթե հին հավասարակիցը չի կարող կատարել քաղաքականությունը, դա համատեղելիության որոշում է նրա սեփականատիրոջ համար:

Ամբողջականությունը պահեք գործարքից դուրս

Ամբողջականության ստուգումներն անջատելը կամ չստուգված սերվեր ընդունելը կատարողականության օպտիմալացում չէ և համատեղելիության ուղղում չէ: Այն փոխում է այն անվտանգության հատկությունը, որի համար ընտրվել էր կառուցվածքը: Նույնը վերաբերում է ընդունված ծածկագրերի ցանկի ընդլայնմանը, մինչև հին հավասարակիցը միանա. կապը հաջողվում է, և քաղաքականությունն այլևս չկա:

Գրեք ընդունված կառուցվածքը և դրա սեփականատիրոջը ուղեցույցում, որպեսզի հաջորդ փոփոխությունը սկսվի որոշումից, ոչ թե նախասիրությունից:

Ինչ ուզում եք, քաղաքականություն է, որը երկու կողմերն էլ կարող են կիրառել: Այն վեճը, թե որ անունն է ամենաուժեղը, այլ զրույց է և սովորաբար ավարտվում է առանց որոշման: