VPN-де DES және 3DES: неге екеуі де дұрыс емес жаңарту

Екі шифр да ескірген және ешқайсысы жаңа трафик үшін дұрыс нысана емес. Пайдалы салыстыру — DES 3DES-ке қарсы емес; бұл қолданыстан шығарылған алгоритмнің қолдау көрсетілетін алгоритмге қарсы салыстыруы. Егер шлюз әлі де солардың біреуін ұсынса, міндет — оны не талап ететінін табу және сол талапты алып тастау, ал екі тұйықтың күштісін таңдау емес.

Адамдар әлі іздейтін салыстыру — дұрыс емес

2000-жылдары жазылған жауаптар DES-ті үш еселенген DES-пен салыстырып, үш еселенген DES күштірек деген қорытындыға келеді. Ол кезде бұл орынды еді, қазір пайдасыз, өйткені екеуі де жаңа трафикті қорғау үшін қолданыстан шығарылған және олардың арасындағы таңдау — екі тұйықтың арасындағы таңдау.

NIST 2005 жылы DES стандартын кері қайтарды, ал оның TDEA ұсынымы 2024 жылдың қаңтарында кері қайтарылды, өйткені TDEA-ны жаңа криптографиялық қорғанысқа қолдану мерзімі 2023 жылдың соңында аяқталды. Бұл күндер ауысуды сипаттайды, рейтингті емес. Қысқа сессия немесе құны төмен хабарлама мәселені қайта ашпайды, өйткені алгоритмнің мәртебесі кілттің қанша уақыт қолданылатынына байланысты емес.

Кілтті жаңарту — жеке бақылау, және ол рұқсатты қалпына келтірмейді.

Келіссөзді деректер жолынан бөліңіз

VPN протоколдары қорғаныс туралы бірнеше жерде келіседі. Бақылау арнасы бір жиынтықты пайдалануы мүмкін, ал тасымалданатын деректер басқасын, және ұсыныстар тізімі серіктес қабылдауға дайын нәрсені ғана айтады. Ұсынысты емес, келісілген нәтижені оқыңыз. Бұл айырмашылық кең тараған шатасуды түсіндіреді: шлюз әлі ескі алгоритмді тізімдейді және оператор оның қолданылып жатқанын болжайды, ал ол ұсынылып, ешқашан таңдалмауы мүмкін, немесе тек бір ескі серіктес үшін таңдалуы мүмкін.

IPsec шлюзінде тиісті шығыс — қауіпсіздік ассоциациясы; OpenVPN жағдайында бұл қосылым журналындағы шифр мен TLS параметрлері. Екеуі де не таңдалғанын айтады. Ешқайсысы конфигурация файлында қалған ескі параметрмен дәлелденбейді.

Келісілген нәтижені көре алмасаңыз, шифрдің қолданыстан шығарылғанын мәлімдей алмайсыз.

Оны әлі де талап ететін құрамдасты табыңыз

Ескі талаптар үш жерден келеді: жақсырақ ештеңе ұсынбайтын ескі клиент, алгоритмді әлі тізімдейтін шлюз саясаты және тек ескі протоколды сөйлейтін құрылғы. Әрқайсысының өз шешімі бар. Үйлесімділік провайдерін қоспас бұрын шектеу иесінен қайсысы екенін сұраңыз, өйткені оны қосу қосылатын әрбір серіктеске әсер етеді.

Әзірге ауыстыруға болмайтын жалғыз құрылғы үшін оның алдына қолдау көрсетілетін шлюз қойып, сол шекараның нені тасымалдайтынын шектеңіз. Бұл ескі шифрді ұстайды, бірақ әрбір қашықтағы пайдаланушы оны мұраланбайды.

Шектеу — жамау емес, және ол ескі хостты сенімді етпейді.

Өзіңізде бар тексерулермен көшіріңіз

Көшу кездегі серіктестер қолдау көрсетілетін профильмен қосылғанда, келісілген жиынтық күткеніңіздей болғанда және қолданба жұмыс істегенде аяқталады. Сервер идентификациясын тексеру мен шот тексерулерін барлық уақытта ұстаңыз; шифрдің өзгеруі оларды әлсіретуге себеп емес.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Клиент пен шлюз нұсқаларын келісілген нәтиженің жанына жазып қойыңыз, сонда келесі шолу шын мәнінде не өзгергенін айта алады.

Ескі рұқсатты оның иесі арқылы кері қайтарып, содан кейін тек қолданыстан шығарылған алгоритмді ұсынатын серіктестің енді қабылданбайтынын растаңыз. Ескі параметрді қосулы қалдыратын көшу — болмаған көшу. Бас тарту дәлелін өзгеріс жазбасымен бірге сақтаңыз, өйткені келесі аудит қалай білетініңізді сұрайды, ал жойылған конфигурация жолы тіркелген бас тартудан әлсіз дәлел. Сессия әлі жаңа кезінде сол жазбаға тест күні мен серіктес идентификациясын қосыңыз.

Тарихи деректер — басқа мәселе

Бірнеше жыл бұрын қорғалған мұрағатты оқу заңды түрде ескі алгоритмді талап етуі мүмкін. Бұл бар материалдың шифрын шешу және жаңа трафикті қорғаумен бірдей міндет емес.

Мұндай жұмысты оқшауланған хостта, құжатталған мақсатпен және оны кім орындай алатынының қысқа тізімімен ұстаңыз.

Бұл айырмашылық маңызды, өйткені бұл қолданыстан шығарылған шифрді қолжетімді ұстаудың жалғыз адал себебі. Ол шектеулі құралды ақтайды, қоғамдық VPN профиліндегі тұрақты жолды ешқашан ақтамайды.