DES gegn 3DES í VPN: hvers vegna hvorugt er rétta uppfærslan

Báðar dulritanir eru úreltar og hvorug er rétta skotmarkið fyrir nýjan umferð. Hið gagnlega samhengi er ekki DES gegn 3DES; það er úreldað reiknirit gegn viðhaldið. Ef hlið býður enn upp á annað hvort, er verkið að finna hvað krefst þess og fjarlægja þá kröfu, ekki að velja það sterkara af tveimur blindgötum.

Samhengið sem fólk leitar enn að er rangt

Svör skrifuð á 2000-áratugnum bera DES saman við þrefalda DES og álykta að þreföld DES sé sterkari. Það var eðlilegt þá og er gagnslaust núna, því bæði eru úreld fyrir vernd nýrrar umferðar og valið á milli þeirra er val á milli tveggja blindgata.

NIST dró DES staðalinn til baka árið 2005, og TDEA-tilmæli hans var dregið til baka í janúar 2024 eftir að fresturinn til að beita TDEA á nýja dulritunarvernd rann út í lok 2023. Þessar dagsetningar lýsa umskiptum, ekki röðun. Stutt lota eða skilaboð með litlu gildi opna ekki spurninguna aftur, því staða reikniritsins fer ekki eftir því hversu lengi lykillinn er notaður.

Endurnýjun lykils er sérstök stjórnun og endurheimtir ekki samþykki.

Aðskildu samningaviðræðurnar frá gagnaleiðinni

VPN-samskiptareglur semja um vernd á fleiri en einum stað. Stjórnrás getur notað eitt mengi á meðan gögnin sem flutt eru nota annað, og tillögulisti segir aðeins hvað jafningi er tilbúinn að samþykkja. Lestu samið niðurstöðuna, ekki tilboðið. Þessi munur útskýrir algengt rugl: hlið listar enn gamalt reiknirit og stjórnandi gerir ráð fyrir að það sé í notkun, þegar það kann að vera boðið og aldrei valið, eða valið fyrir einn gamlan jafningja.

Á IPsec-hliði er viðkomandi úttak öryggjartengslin; á OpenVPN eru það dulritunin og TLS-stillingarnar í tengingarskránni. Bæði segja hvað var valið. Hvorugt er sannað með gömlum valkosti sem enn er í stillingarskrá.

Ef þú sérð ekki samið niðurstöðuna getur þú ekki fullyrt að dulritunin hafi verið úreld.

Finndu íhlutinn sem biður enn um hana

Kröfur um gömul kerfi koma frá þremur stöðum: gamall biðlari sem býður ekkert betra, hliðarstefna sem listar enn reikniritið, og tæki sem talar aðeins gamla samskiptaregluna. Hvert hefur aðra lausn. Spurðu eiganda takmörkunarinnar hvort það er, áður en þú virkjar samhæfnisaðila, því virkjun þess hefur áhrif á hvern þann jafningja sem tengist.

Fyrir eitt tæki sem ekki er hægt að skipta út enn, settu viðhaldið hlið fyrir framan það og takmarkaðu hvað þessi mörk flytja. Það heldur gömlu dulrituninni í skefjum án þess að hver fjartengdur notandi erfi hana.

Skerðing er ekki plástur og gerir gamla hýsilinn ekki áreiðanlegan.

Flyttu með þeim prófunum sem þú hefur nú þegar

Flutningur er lokið þegar fyrirhugaðir jafningar tengjast með viðhaldna sniðinu, samið mengi er það sem þú bjóst við, og forritið virkar. Hafðu sannprófun þjónarauðkennis og prófanir reiknings á sínum stað allan tímann; dulritunarskipti er ekki ástæða til að slaka á þeim.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Skráðu útgáfur biðlara og hliðs við hlið samið niðurstöðunnar, svo næsta endurskoðun geti sagt hvað breyttist í raun.

Dragðu gamla heimildina til baka í gegnum eiganda hennar og staðfestu síðan að jafningi sem býður aðeins upp á úrelda reikniritið sé nú hafnað. Flutningur sem lætur gamla valkostinn vera virkan er flutningur sem átti sér ekki stað. Geymdu sönnun hafnarinnar með breytingaskránni, því næsta úttekt mun spyrja hvernig þú veist það, og eyðilagt stillingarlína er veikari sönnun en skráð höfnun. Bættu prófunardagsetningu og auðkenni jafningsins við þá skrá meðan lotan er enn fersk.

Söguleg gögn eru annað vandamál

Að lesa skjalasafn sem var varið fyrir árum kann lögmætlega að krefjast gamla reikniritsins. Það er afkóðun á núverandi efni og er ekki sama verk og að vernda nýja umferð.

Haltu slíkri vinnu á einangruðum hýsli með skjalfestum tilgangi og stuttum lista yfir hverjir mega keyra hana.

Munurinn skiptir máli því hann er eina heiðarlega ástæðan til að halda úreldri dulritun aðgengilegri. Hann réttlætir takmarkað tól, aldrei varanlega línu í opinberu VPN-sniði.