AES-256 eða OFB: veldu heildstæða VPN-dulkóðun

AES-256 og OFB svara ólíkum spurningum, og hér fara dulkóðunaryfirferðir úrskeiðis þegar þær eru meðhöndlaðar sem keppinautar. Önnur nefnir blokkardulritun með lyklastærð; hin lýsir því hvernig blokkardulritun er gerð að straumi fyrir lengri skilaboð. Handbók um val á vernd verður að horfa á alla bygginguna, þar á meðal hvernig móttakandinn greinir breytta pakka.

Nefndu fjóra hluta byggingarinnar

Sérhver yfirferð snýst um fjórar spurningar: hvaða frumstærð og lyklastærð, hvernig skilaboð eru unnin með henni, hvernig móttakandinn hafnar óheimilli breytingu og hvernig samskiptareglan stýrir inntaki, lyklum og líftíma þeirra. Listi yfir kunnugleg nöfn svarar aðeins þeirri fyrstu. Önnur og þriðja eru þar sem raunverulegur munur liggur, og fjórða þar sem útfærslur fara þegjandi í sundur. Spurðu í þeirri röð og skrifaðu svörin niður.

OFB er meðal trúnaðarhama í útgáfu NIST um blokkardulritunarhama, og trúnaður er allt sem það veitir. Samskiptaregla sem setur dulkóðunarham saman við sérstakt MAC verður að setja þau rétt saman, og nafn reiknirits sannar ekki þá samsetningu. Þess vegna getur nafn hamsins eitt sér ekki ráðið úttektarákvörðun.

Fjórða spurningin er sú sem rekstraraðili getur raunverulega staðfest á kerfinu sem er í gangi.

Veldu frekar sannreynda byggingu

Sannreynd dulkóðun veitir trúnað og heilleika saman, og AEAD-byggingar vernda einnig tengd gögn fyrir breytingum án þess að dulkóða þau. Þetta er eiginleiki pakkaverndar og tengist ekki því hvort einstaklingur skráði sig inn með góðum árangri.

Leiðbeiningar Netgate um dulkóðunarstillingar OpenVPN vísar á AEAD-valkosti, þar á meðal AES-GCM, fyrir gagnarásina, og það er sú tegund studdrar stefnu sem á að fylgja. Notaðu þá valkosti sem uppsetta útgáfan og jafningjaklientar styðja, í stað þess að afrita sögulega hamaröð í nýja úttekt. Eldri samhæfni, dulkóðunarbakendur og offload-stuðningur takmarka það sem er raunverulega tiltækt.

Studd bygging vinnur alltaf á sniðugri samsetningu.

Lestu samið niðurstöðuna, ekki tilboðið

Dulritun á samþykktum lista segir ekkert um núverandi lotu. Lestu samið gagnarásarvernd hjá klientsins eða á gáttinni og berðu hana síðan saman við stefnuna sem þú vildir framfylgja. Stilling sem enn listar eldri valkost fyrir einn gamlan jafningja er samhæfnisákvörðun, ekki fullyrðing um lotuna fyrir framan þig.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Á gátt er samsvarandi úttak öryggissamtengingu eða dulkóðunarupplýsingar tengingarinnar, eftir vettvangi. Í báðum tilvikum eru tilboðið og niðurstaðan ólík staðreynd. Listi sem inniheldur eldri valkost fyrir einn gamlan jafningja þýðir ekki að hver lota noti hann, og lotan sem gerir það er það sem þú þurftir að vita.

Skráðu báðar staðreyndir saman, með dagsetningu og útgáfu klientsins.

Mældu aðeins það sem er samanburðarhæft

Afköst ráðast af vélbúnaði endapunkta, útfærslu, hröðun, pakkastærðum og valinni stillingu. Hvorki lyklalengd né orðið OFB segir þér hvaða úttekt verður hraðari. Þess vegna er mæling frá öðrum vef í besta falli vísbending um vélbúnað sem einhver annar á. Þín eigin tölur byrja á þínum eigin endapunktum.

Fyrir leyfðan samanburð skaltu halda endapunktunum, vinnuálaginu og tilskilinni stefnu stöðugum og skrá samið vernd ásamt útgáfum útfærslnanna. Metið síðan niðurstöðuna eftir því hvort forritið kláraðist, hversu mikið það tapaði og hvað endapunktarnir voru að gera, í stað þess að álykta dulkóðunarkostnað út frá einu hraðaprófi. Tala sem framleidd er við aðrar aðstæður er saga, ekki mæling.

Ef gamall jafningi getur ekki uppfyllt stefnuna er það samhæfnisákvörðun fyrir eiganda hans.

Haltu heilleika utan viðskiptanna

Að slökkva á heilleikaprófunum eða samþykkja óstaðfestan þjón er ekki afkastaheimfærsla og ekki samhæfniviðgerð. Það breytir öryggiseiginleikanum sem byggingin var valin fyrir. Hið sama gildir um að víkka samþykktan dulritunarlista þar til gamall jafningi tengist: tengingin heppnast og stefnan er ekki lengur til.

Skrifaðu samþykktu bygginguna og eiganda hennar í handbókina, svo næsta breyting byrji á ákvörðun en ekki á smekk.

Það sem þú vilt er stefna sem báðir endar geta framfylgt. Að deila um hvaða nafn sé sterkast er annað samtal, og það endar venjulega án ákvörðunar.