DES ընդդեմ 3DES-ի VPN-ում. ինչու՞ երկուսն էլ սխալ արդիականացում են

Երկու գաղտնագրերն էլ հնացած են, և ոչ մեկը նոր թրաֆիկի համար ճիշտ թիրախ չէ։ Օգտակար համեմատությունը DES-ն ընդդեմ 3DES-ի չէ. դա հանված ալգորիթմն է՝ պահվողի դեմ։ Եթե դարպասը դեռ առաջարկում է դրանցից մեկը, աշխատանքը պարզելն է, թե ինչն է դա պահանջում, և այդ պահանջը հեռացնելը, այլ ոչ թե երկու փակուղիներից ուժեղին ընտրելը։

Այն համեմատությունը, որը մարդիկ դեռ փնտրում են, սխալն է

2000-ականներին գրված պատասխանները համեմատում են DES-ը եռակի DES-ի հետ և եզրակացնում, որ եռակի DES-ն ավելի ուժեղ է։ Այն ժամանակ դա խելամիտ էր, իսկ հիմա՝ անօգուտ, քանի որ երկուսն էլ հանված են նոր թրաֆիկի պաշտպանությունից, և նրանց միջև ընտրությունը երկու փակուղիների միջև ընտրություն է։

NIST-ը 2005 թվականին հետ կանչեց DES ստանդարտը, և նրա TDEA առաջարկությունը հետ կանչվեց 2024 թվականի հունվարին այն բանից հետո, երբ 2023 թվականի վերջին լրացավ TDEA-ն նոր գաղտնագրային պաշտպանության վրա կիրառելու ժամկետը։ Այդ ամսաթվերը նկարագրում են անցում, ոչ թե դասակարգում։ Կարճ սեսիան կամ ցածրարժեք հաղորդագրությունը չի վերաբացում հարցը, քանի որ ալգորիթմի կարգավիճակը կախված չէ նրանից, թե որքան երկար է օգտագործվում բանալին։

Բանալու նորացումը առանձին վերահսկողություն է, և այն չի վերականգնում հաստատումը։

Առանձնացրեք բանակցությունը տվյալների ուղուց

VPN արձանագրությունները պաշտպանության շուրջ բանակցում են մեկից ավելի տեղերում։ Կառավարման ալիքը կարող է օգտագործել մի հավաքածու, մինչ փոխանցվող տվյալները՝ մեկ ուրիշը, և առաջարկների ցանկը միայն ասում է, թե գործընկերը ինչի է պատրաստ համաձայնել։ Կարդացեք բանակցված արդյունքը, ոչ թե առաջարկը։ Այդ տարբերությունը բացատրում է տարածված շփոթությունը. դարպասը դեռ թվարկում է հին ալգորիթմ, և օպերատորը ենթադրում է, որ այն օգտագործվում է, մինչդեռ այն կարող է առաջարկվել և երբեք չընտրվել, կամ ընտրվել միայն մեկ հին գործընկերոջ համար։

IPsec դարպասի վրա համապատասխան ելքը անվտանգության ասոցիացիան է. OpenVPN-ի դեպքում դա միացման մատյանում գաղտնագրման և TLS կարգավորումներն են։ Երկուսն էլ ասում են, թե ինչ է ընտրվել։ Ոչ մեկը չի ապացուցվում կոնֆիգուրացիայի ֆայլում դեռ մնացած հին տարբերակով։

Եթե չեք տեսնում բանակցված արդյունքը, չեք կարող պնդել, որ գաղտնագրումը հանվել է։

Գտեք այն բաղադրիչը, որը դեռ պահանջում է այն

Ժառանգական պահանջները գալիս են երեք տեղից. հին հաճախորդ, որը ոչինչ ավելի լավ չի առաջարկում, դարպասի քաղաքականություն, որը դեռ թվարկում է ալգորիթմը, և սարք, որը խոսում է միայն հին արձանագրությամբ։ Յուրաքանչյուրն ունի տարբեր լուծում։ Համատեղելիության մատակարարին միացնելուց առաջ հարցրեք սահմանափակման տիրոջը, թե որն է դա, քանի որ դրա միացումը ազդում է յուրաքանչյուր միացող գործընկերոջ վրա։

Մեկ սարքի համար, որը դեռ հնարավոր չէ փոխարինել, դրեք պահվող դարպաս նրա առջև և սահմանափակեք, թե ինչ է կրում այդ սահմանը։ Դա զսպում է հին գաղտնագրումը՝ առանց ստիպելու յուրաքանչյուր հեռավոր օգտվողի ժառանգել այն։

Զսպումը կարկատան չէ, և այն հին հոսթը վստահելի չի դարձնում։

Միգրացրեք արդեն ունեցած ստուգումներով

Միգրացիան ավարտված է, երբ նախատեսված գործընկերները միանում են պահվող պրոֆիլով, բանակցված հավաքածուն այն է, ինչ սպասում էիք, և հավելվածը աշխատում է։ Պահեք սերվերի ինքնության ստուգումը և հաշվի ստուգումները ողջ ընթացքում. գաղտնագրման փոփոխությունը դրանք թուլացնելու պատճառ չէ։

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Գրանցեք հաճախորդի և դարպասի տարբերակները բանակցված արդյունքի կողքին, որպեսզի հաջորդ վերանայումը կարողանա ասել, թե ինչ փոխվեց իրականում։

Հեռացրեք հին թույլտվությունը դրա տիրոջ միջոցով, ապա հաստատեք, որ միայն հանված ալգորիթմն առաջարկող գործընկերն այժմ մերժվում է։ Միգրացիան, որը թողնում է հին տարբերակը միացված, այն միգրացիան է, որը չի կայացել։ Պահեք մերժման ապացույցը փոփոխության գրառման հետ, քանի որ հաջորդ աուդիտը կհարցնի, թե ինչպես գիտեք, և հեռացված կոնֆիգուրացիայի տողն ավելի թույլ ապացույց է, քան գրանցված մերժումը։ Ավելացրեք թեստի ամսաթիվը և գործընկերոջ ինքնությունը այդ գրառմանը, քանի դեռ սեսիան թարմ է։

Պատմական տվյալները այլ խնդիր են

Տարիներ առաջ պաշտպանված արխիվ կարդալը կարող է օրինականորեն պահանջել հին ալգորիթմը։ Դա գոյություն ունեցող նյութի վերծանում է, և նույն խնդիրը չէ, ինչ նոր թրաֆիկի պաշտպանությունը։

Նման աշխատանքը պահեք մեկուսացված հոսթում՝ փաստաթղթավորված նպատակով և կարճ ցանկով, թե ով կարող է այն կատարել։

Տարբերությունը կարևոր է, քանի որ դա հանված գաղտնագրումը հասանելի պահելու միակ ազնիվ պատճառն է։ Այն արդարացնում է սահմանափակ գործիք, երբեք՝ մշտական տող հանրային VPN պրոֆիլում։