VPN에서의 DES와 3DES: 둘 다 잘못된 업그레이드인 이유

두 암호 모두 구식이며, 새 트래픽에 맞는 대상은 어느 쪽도 아닙니다. 유용한 비교는 DES 대 3DES가 아니라 폐기된 알고리즘 대 유지되는 알고리즘입니다. 게이트웨이가 아직 둘 중 하나를 제공한다면, 할 일은 무엇이 그것을 요구하는지 찾아 그 요구를 없애는 것이지 두 막다른 길 중 강한 쪽을 고르는 것이 아닙니다.

사람들이 아직 찾는 비교는 잘못된 것이다

2000년대에 쓰인 답변은 DES를 삼중 DES와 비교하고 삼중 DES가 더 강하다고 결론짓습니다. 그때는 합리적이었지만 지금은 쓸모없습니다. 둘 다 새 트래픽 보호에는 폐기되었고, 둘 사이의 선택은 두 막다른 길 사이의 선택이기 때문입니다.

NIST는 2005년에 DES 표준을 철회했고, TDEA 권고도 2024년 초에 철회되었습니다. 새 암호 보호에 TDEA를 적용하는 기한이 2023년 말에 지났기 때문입니다. 이 날짜들은 전환을 설명하며 순위가 아닙니다. 짧은 세션이나 가치가 낮은 메시지가 문제를 다시 열지는 않습니다. 알고리즘의 지위는 키를 얼마나 오래 쓰는지에 달려 있지 않기 때문입니다.

키 갱신은 별도의 통제이며 승인을 복원하지 않습니다.

협상을 데이터 경로와 분리하라

VPN 프로토콜은 한 곳 이상에서 보호를 협상합니다. 제어 채널이 한 제품군을 쓰는 동안 전달되는 데이터는 다른 제품군을 쓸 수 있고, 제안 목록은 피어가 받아들일 의향이 있는 것만 말합니다. 제안이 아니라 협상된 결과를 읽으십시오. 이 차이는 흔한 혼란을 설명합니다. 게이트웨이가 여전히 오래된 알고리즘을 나열하고 운영자는 그것이 사용 중이라고 가정하지만, 실제로는 제안만 되고 선택되지 않았거나 오래된 피어 하나에만 선택되었을 수 있습니다.

IPsec 게이트웨이에서는 관련 출력이 보안 연관이며, OpenVPN에서는 연결 로그의 암호와 TLS 설정입니다. 둘 다 무엇이 선택되었는지 알려 줍니다. 구성 파일에 남아 있는 오래된 옵션으로는 어느 것도 증명되지 않습니다.

협상된 결과를 볼 수 없다면 그 암호가 폐기되었다고 주장할 수 없습니다.

아직 그것을 요구하는 구성 요소를 찾아라

레거시 요구는 세 곳에서 나옵니다. 더 나은 것을 제공하지 않는 오래된 클라이언트, 알고리즘을 여전히 나열하는 게이트웨이 정책, 오래된 프로토콜만 말하는 장비입니다. 각각 해법이 다릅니다. 호환성 공급자를 활성화하기 전에 그 제약의 소유자에게 어느 것인지 물으십시오. 활성화하면 연결하는 모든 피어에 영향을 주기 때문입니다.

아직 교체할 수 없는 단일 장비라면 그 앞에 유지되는 게이트웨이를 두고 그 경계가 무엇을 전달하는지 제한하십시오. 그러면 모든 원격 사용자가 오래된 암호를 물려받지 않고도 격리할 수 있습니다.

격리는 패치가 아니며 레거시 호스트를 신뢰할 수 있게 만들지 않습니다.

이미 가진 점검으로 마이그레이션하라

마이그레이션은 의도한 피어가 유지되는 프로필로 연결되고, 협상된 제품군이 예상한 것이고, 애플리케이션이 동작할 때 끝납니다. 서버 신원 검증과 계정 점검은 내내 유지하십시오. 암호 변경은 그것들을 느슨하게 할 이유가 아닙니다.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

협상된 결과 옆에 클라이언트와 게이트웨이 버전을 기록해 두면 다음 검토에서 실제로 무엇이 바뀌었는지 알 수 있습니다.

소유자를 통해 오래된 허용을 폐기하고, 그다음 폐기된 알고리즘만 제공하는 피어가 이제 거부되는지 확인하십시오. 오래된 옵션을 활성화한 채 두는 마이그레이션은 일어나지 않은 마이그레이션입니다. 거부 증거를 변경 기록과 함께 보관하십시오. 다음 감사에서 어떻게 아는지 물을 것이고, 삭제된 구성 행은 기록된 거부보다 약한 증거입니다. 세션이 아직 신선할 때 시험 날짜와 피어 신원을 그 기록에 추가하십시오.

역사 데이터는 다른 문제다

몇 년 전에 보호된 아카이브를 읽으려면 정당하게 오래된 알고리즘이 필요할 수 있습니다. 그것은 기존 자료의 복호화이며 새 트래픽을 보호하는 것과 같은 작업이 아닙니다.

그런 작업은 문서화된 목적과 수행할 수 있는 사람의 짧은 목록을 갖춘 격리된 호스트에서 하십시오.

이 구분이 중요한 이유는 폐기된 암호를 사용 가능하게 두는 유일하게 정직한 이유이기 때문입니다. 그것은 범위가 제한된 도구를 정당화하며, 공개 VPN 프로필의 영구적인 행을 결코 정당화하지 않습니다.