DES 3DES-ის წინააღმდეგ VPN-ში: რატომ არის ორივე არასწორი განახლება

ორივე შიფრი მოძველებულია და არც ერთი არ არის ახალი ტრაფიკის სწორი სამიზნე. სასარგებლო შედარება არ არის DES 3DES-ის წინააღმდეგ; ეს არის გაუქმებული ალგორითმი შენარჩუნებულის წინააღმდეგ. თუ კარიბჭე ჯერ კიდევ გვთავაზობს ერთ-ერთს, საქმე იმაშია, გაარკვიოთ, რა მოითხოვს მას და მოხსნათ ეს მოთხოვნა, და არა აირჩიოთ უფრო ძლიერი ორი ჩიხიდან.

შედარება, რომელსაც ხალხი ჯერ კიდევ ეძებს, არასწორია

2000-იან წლებში დაწერილი პასუხები ადარებენ DES-ს სამმაგ DES-ს და ასკვნიან, რომ სამმაგი DES უფრო ძლიერია. მაშინ ეს გონივრული იყო, ახლა კი უსარგებლოა, რადგან ორივე გაუქმებულია ახალი ტრაფიკის დაცვისთვის და მათ შორის არჩევანი ორ ჩიხს შორის არჩევანია.

NIST-მა DES სტანდარტი 2005 წელს გააუქმა, ხოლო მისი TDEA რეკომენდაცია 2024 წლის იანვარში გაუქმდა მას შემდეგ, რაც 2023 წლის ბოლოს ამოიწურა TDEA-ს ახალ კრიპტოგრაფიულ დაცვაზე გამოყენების ვადა. ეს თარიღები გადასვლას აღწერენ, არა რეიტინგს. მოკლე სესია ან დაბალი ღირებულების შეტყობინება კითხვას ხელახლა არ ხსნის, რადგან ალგორითმის სტატუსი არ არის დამოკიდებული იმაზე, რამდენ ხანს გამოიყენება გასაღები.

გასაღების განახლება ცალკე კონტროლია და ის არ აღადგენს დამტკიცებას.

გამოყავით მოლაპარაკება მონაცემთა გზისგან

VPN პროტოკოლები დაცვაზე მოლაპარაკებას ერთზე მეტ ადგილას აწარმოებენ. საკონტროლო არხმა შეიძლება გამოიყენოს ერთი კრებული, ხოლო გადატანილმა მონაცემებმა — სხვა, და წინადადებების სია მხოლოდ იმას ამბობს, რასაც პარტნიორი მზადაა მიიღოს. წაიკითხეთ მოლაპარაკებული შედეგი და არა შეთავაზება. ეს განსხვავება ხსნის გავრცელებულ დაბნეულობას: კარიბჭე ჯერ კიდევ ჩამოთვლის ძველ ალგორითმს და ოპერატორი ფიქრობს, რომ ის გამოიყენება, მაშინ როცა შეიძლება შეთავაზდეს და არასდროს აირჩიოს, ან აირჩიოს მხოლოდ ერთი ძველი პარტნიორისთვის.

IPsec კარიბჭეზე შესაბამისი გამომავალი უსაფრთხოების ასოციაციაა; OpenVPN-ის შემთხვევაში ეს არის შიფრი და TLS პარამეტრები კავშირის ჟურნალში. ორივე ამბობს, რა აირჩიეს. არც ერთი არ მტკიცდება კონფიგურაციის ფაილში დარჩენილი ძველი პარამეტრით.

თუ ვერ ხედავთ მოლაპარაკებულ შედეგს, ვერ განაცხადებთ, რომ შიფრი გაუქმდა.

იპოვეთ კომპონენტი, რომელიც ჯერ კიდევ ითხოვს მას

ძველი მოთხოვნები სამი ადგილიდან მოდის: ძველი კლიენტი, რომელიც უკეთესს არაფერს გვთავაზობს, კარიბჭის პოლიტიკა, რომელიც ჯერ კიდევ ჩამოთვლის ალგორითმს, და მოწყობილობა, რომელიც მხოლოდ ძველ პროტოკოლს ლაპარაკობს. თითოეულს განსხვავებული გადაწყვეტა აქვს. სანამ თავსებადობის მომწოდებელს ჩართავთ, ჰკითხეთ შეზღუდვის მფლობელს, რომელია ეს, რადგან მისი ჩართვა ყველა დაკავშირებულ პარტნიორზე მოქმედებს.

ერთი მოწყობილობისთვის, რომლის შეცვლაც ჯერ არ შეიძლება, მის წინ დადეთ შენარჩუნებული კარიბჭე და შეზღუდეთ, რას ატარებს ეს საზღვარი. ეს აკავებს ძველ შიფრს იმის გარეშე, რომ ყველა დისტანციურმა მომხმარებელმა მემკვიდრეობით მიიღოს ის.

შეკავება არ არის პაჩი და ის ძველ ჰოსტს საიმედოს არ ხდის.

მიგრაცია იმ შემოწმებებით, რომლებიც უკვე გაქვთ

მიგრაცია დასრულებულია, როცა განკუთვნილი პარტნიორები უკავშირდებიან შენარჩუნებულ პროფილს, მოლაპარაკებული კრებული არის ის, რასაც ელოდით, და აპლიკაცია მუშაობს. შეინარჩუნეთ სერვერის იდენტობის შემოწმება და ანგარიშის შემოწმებები მთელი დროის განმავლობაში; შიფრის შეცვლა არ არის მათი შესუსტების მიზეზი.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

ჩაწერეთ კლიენტისა და კარიბჭის ვერსიები მოლაპარაკებული შედეგის გვერდით, რათა შემდეგმა მიმოხილვამ იცოდეს, რა შეიცვალა სინამდვილეში.

გააუქმეთ ძველი ნებართვა მისი მფლობელის მეშვეობით, შემდეგ დაადასტურეთ, რომ პარტნიორი, რომელიც მხოლოდ გაუქმებულ ალგორითმს გვთავაზობს, ახლა უარყოფილია. მიგრაცია, რომელიც ძველ პარამეტრს ჩართულს ტოვებს, არის მიგრაცია, რომელიც არ მომხდარა. შეინახეთ უარყოფის მტკიცებულება ცვლილების ჩანაწერთან, რადგან შემდეგი აუდიტი იკითხავს, როგორ იცით, და წაშლილი კონფიგურაციის ხაზი უფრო სუსტი მტკიცებულებაა, ვიდრე ჩაწერილი უარყოფა. დაამატეთ ტესტის თარიღი და პარტნიორის იდენტობა იმ ჩანაწერს, სანამ სესია ჯერ კიდევ ახალია.

ისტორიული მონაცემები სხვა პრობლემაა

წლების წინ დაცული არქივის წაკითხვა შეიძლება ლეგიტიმურად მოითხოვდეს ძველ ალგორითმს. ეს არსებული მასალის გაშიფვრაა და არ არის იგივე ამოცანა, რაც ახალი ტრაფიკის დაცვა.

შეინახეთ ასეთი სამუშაო იზოლირებულ ჰოსტზე, დოკუმენტირებული მიზნით და მოკლე სიით, თუ ვის შეუძლია მისი შესრულება.

ეს განსხვავება მნიშვნელოვანია, რადგან ეს არის ერთადერთი პატიოსანი მიზეზი გაუქმებული შიფრის ხელმისაწვდომად შესანარჩუნებლად. ის ამართლებს შეზღუდული მოცულობის ხელსაწყოს, არასდროს — მუდმივ ხაზს საჯარო VPN პროფილში.