AES-256 немесе OFB: толық VPN шифр құрылымын таңдаңыз

AES-256 мен OFB әртүрлі сұрақтарға жауап береді, және шифр шолулары оларды бәсекелес нұсқалар ретінде қарағанда дәл осы жерде қателеседі. Біреуі кілт өлшемімен блоктық шифрды атайды; екіншісі блоктық шифрдың ұзынырақ хабарлама үшін ағынға қалай айналатынын сипаттайды. Қорғанысты таңдау жөніндегі нұсқаулық бүкіл құрылымды қарауы керек, соның ішінде қабылдаушы өзгертілген пакетті қалай анықтайтыны.

Құрылымның төрт бөлігін атаңыз

Әрбір шолу төрт сұраққа саяды: қай примитив және кілт өлшемі, хабарламалар онымен қалай өңделеді, қабылдаушы рұқсатсыз өзгертуді қалай қабылдамайды және хаттама кірістерді, кілттерді және олардың өмірін қалай басқарады. Таныс атаулар тізімі тек біріншісіне жауап береді. Екіншісі мен үшіншісі нақты айырмашылықтар тұратын жер, ал төртіншісі іске асырулар үнсіз ажырайтын жер. Осы ретпен сұраңыз және жауаптарды жазып алыңыз.

OFB NIST-тің блоктық шифр режимдері туралы басылымында құпиялылық режимдерінің қатарында кездеседі, және құпиялылық — ол беретіннің бәрі. Шифрлау режимін бөлек MAC-пен жалғайтын хаттама оларды дұрыс құрастыруы керек, ал алгоритм атауы бұл құрастыруды дәлелдемейді. Сондықтан режим атауы жалғыз өзі орналастыру шешімін шеше алмайды.

Төртінші сұрақ — оператор жұмыс істеп тұрған жүйеде шынымен тексере алатын сұрақ.

Аутентификацияланған құрылымды таңдаңыз

Аутентификацияланған шифрлау құпиялылық пен тұтастықты бірге береді, ал AEAD құрылымдары байланысты деректерді шифрламай-ақ өзгертуден қорғайды. Бұл пакет қорғанысының қасиеті, және адамның сәтті кіруіне қатысы жоқ.

Netgate-тің Netgate-тің OpenVPN криптографиялық параметрлері жөніндегі нұсқаулығы деректер арнасы үшін AEAD нұсқаларын, соның ішінде AES-GCM-ді көрсетеді, және бұл ұстануға тиіс қолдау көрсетілетін саясат түрі. Орнатылған шығарылым мен тең дәрежелі клиенттер қолдайтын таңдауларды пайдаланыңыз, тарихи режимдер ретін жаңа орналастыруға көшірмеңіз. Ескі үйлесімділік, крипто бэкендтер және offload қолдауы шын мәнінде қолжетімдіні шектейді.

Қолдау көрсетілетін құрылым ақылды құрастырудан әрдайым басым.

Ұсынысты емес, келісілген нәтижені оқыңыз

Қабылданған тізімде шифрдың көрінуі ағымдағы сессия туралы ештеңе айтпайды. Клиенттен немесе шлюзден келісілген деректер арнасының қорғанысын оқып, содан кейін енгізгіңіз келген саясатпен салыстырыңыз. Ескі тең дәрежелі клиент үшін ескі нұсқаны әлі де тізіп тұрған конфигурация — үйлесімділік шешімі, ал сіздің алдыңыздағы сессия туралы мәлімдеме емес.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Шлюзде баламалы шығыс — платформаға байланысты қауіпсіздік ассоциациясы немесе қосылымның крипто мәліметтері. Екі жағдайда да ұсыныс пен нәтиже бөлек фактілер. Ескі тең дәрежелі клиент үшін ескі нұсқаны қамтитын тізім әр сессияның оны пайдаланатынын білдірмейді, ал пайдаланатын сессия — білуіңіз керек болған нәрсе.

Екі фактіні бірге жазып алыңыз, күнімен және клиент нұсқасымен.

Тек салыстыруға болатынды өлшеңіз

Өткізу қабілеті шеткі нүктелердің аппараттық жасақтамасына, іске асыруға, жеделдетуге, пакет өлшемдеріне және таңдалған конфигурацияға байланысты. Кілт ұзындығы да, OFB сөзі де қай орналастыру жылдамырақ болатынын айтпайды. Сондықтан басқа сайттың өлшемі ең жақсы жағдайда басқа біреудің аппаратурасы туралы нұсқау. Сіздің сандарыңыз өз шеткі нүктелеріңізден басталады.

Рұқсат етілген салыстыру үшін шеткі нүктелерді, жүктемені және талап етілетін саясатты тұрақты ұстап, келісілген қорғаныс пен іске асыру нұсқаларын жазыңыз. Содан кейін нәтижені қолданбаның аяқталғанына, қанша жоғалтқанына және шеткі нүктелердің не істеп жатқанына қарап бағалаңыз, бір жылдамдық сынағынан крипто құнын шығарудың орнына. Басқа жағдайда алынған сан — әңгіме, өлшем емес.

Егер ескі тең дәрежелі клиент саясатты орындай алмаса, бұл оның иесі үшін үйлесімділік шешімі.

Тұтастықты мәміледен тыс ұстаңыз

Тұтастық тексерулерін өшіру немесе тексерілмеген серверді қабылдау — өнімділікті оңтайландыру емес және үйлесімділікті түзету емес. Ол құрылым таңдалған қауіпсіздік қасиетін өзгертеді. Қабылданған шифрлар тізімін ескі тең дәрежелі клиент қосылғанша кеңейту де сол сияқты: байланыс сәтті болады, ал саясат енді жоқ.

Қабылданған құрылымды және оның иесін нұсқаулыққа жазыңыз, келесі өзгеріс талғамнан емес, шешімнен басталсын.

Сіз қалаған нәрсе — екі жақ та қолдана алатын саясат. Қай атау ең күшті деген дау — басқа әңгіме, ол әдетте шешімсіз аяқталады.