AES-256 же OFB: толук VPN шифр курулушун тандаңыз

AES-256 менен OFB ар башка суроолорго жооп берет, жана шифр серептери аларды атаандаш варианттар катары караганда ушул жерден жаңылышат. Бири ачкыч өлчөмү менен блоктук шифрды атайт; экинчиси блоктук шифрдын узунураак билдирүү үчүн агымга кантип айланганын сүрөттөйт. Коргоону тандоо боюнча колдонмо бүт курулушту карашы керек, анын ичинде кабыл алуучу өзгөртүлгөн пакетти кантип аныктайт.

Курулуштун төрт бөлүгүн атаңыз

Ар бир сереп төрт суроого келет: кайсы примитив жана ачкыч өлчөмү, билдирүүлөр аны менен кантип иштетилет, кабыл алуучу уруксатсыз өзгөртүүнү кантип четке кагат жана протокол киргизүүлөрдү, ачкычтарды жана алардын өмүрүн кантип башкарат. Тааныш аттардын тизмеси биринчисине гана жооп берет. Экинчиси жана үчүнчүсү чыныгы айырмачылыктар жайгашкан жер, ал эми төртүнчүсү ишке ашыруулар үнсүз ажыраган жер. Ушундай тартипте сураңыз жана жоопторду жазыңыз.

OFB NISTтин блоктук шифр режимдери жөнүндөгү басылмасында купуялуулук режимдеринин арасында кездешет, жана купуялуулук — ал бергендин баары. Шифрлоо режимин өзүнчө MAC менен айкалыштырган протокол аларды туура курашы керек, ал эми алгоритмдин аты бул курамды далилдебейт. Ошондуктан режимдин аты жалгыз өзү жайгаштыруу чечимин чече албайт.

Төртүнчү суроо — оператор иштеп жаткан системада чындап текшере алган суроо.

Аутентификацияланган курулушту артык көрүңүз

Аутентификацияланган шифрлоо купуялуулук менен бүтүндүктү чогуу берет, ал эми AEAD курулуштары байланышкан маалыматты шифрлебей эле өзгөртүүдөн коргойт. Бул пакет коргоосунун касиети, жана адамдын ийгиликтүү кирүүсүнө тиешеси жок.

Netgate’тин Netgate’тин OpenVPN криптографиялык жөндөөлөрү боюнча колдонмосу маалымат каналы үчүн AEAD варианттарын, анын ичинде AES-GCMди көрсөтөт, жана бул карманууга тийиш колдоого алынган саясаттын түрү. Орнотулган чыгарылыш жана тең клиенттер колдогон тандоолорду пайдаланыңыз, тарыхый режимдер тизмесин жаңы жайгаштырууга көчүрбөңүз. Эски шайкештик, крипто бэкенддер жана offload колдоосу чындыгында жеткиликтүүнү чектейт.

Колдоого алынган курулуш акылдуу курамдан ар дайым басымдуу.

Сунушту эмес, макулдашылган жыйынтыкты окуңуз

Кабыл алынган тизмеде шифрдын көрүнүшү азыркы сессия жөнүндө эч нерсе айтпайт. Клиенттен же шлюзден макулдашылган маалымат каналынын коргоосун окуп, анан киргизгиңиз келген саясат менен салыштырыңыз. Эски тең клиент үчүн эски вариантты али тизмелеп турган конфигурация — шайкештик чечими, ал эми сиздин алдыңыздагы сессия жөнүндө билдирүү эмес.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Шлюзде барабар чыгарылыш — платформага жараша коопсуздук ассоциациясы же туташуунун крипто деталдары. Эки учурда тең сунуш менен жыйынтык өзүнчө фактылар. Эски тең клиент үчүн эски вариантты камтыган тизме ар бир сессия аны колдонот дегенди билдирбейт, ал эми колдонгон сессия — билишиңиз керек болгон нерсе.

Эки фактыны чогуу жазыңыз, күнү жана клиенттин версиясы менен.

Салыштырууга болгонун гана өлчөңүз

Өткөрүү жөндөмү четки чекиттердин аппараттык камсыздоосуна, ишке ашырууга, ылдамдатууга, пакет өлчөмдөрүнө жана тандалган конфигурацияга көз каранды. Ачкычтын узундугу да, OFB сөзү да кайсы жайгаштыруу тезирээк болорун айтпайт. Ошондуктан башка сайттын өлчөөсү эң жакшы учурда башка бирөөнүн аппаратурасы жөнүндө белги. Сиздин сандарыңыз өзүңүздүн четки чекиттериңизден башталат.

Уруксат берилген салыштыруу үчүн четки чекиттерди, жүктөмдү жана талап кылынган саясатты туруктуу кармап, макулдашылган коргоону жана ишке ашыруу версияларын жазыңыз. Анан жыйынтыкты колдонмо бүттүбү, канча жоготту жана четки чекиттер эмне кылып жатканы боюнча баалаңыз, бир ылдамдык сынагынан крипто наркын чыгаруунун ордуна. Башка шартта алынган сан — окуя, өлчөө эмес.

Эгер эски тең клиент саясатты аткара албаса, бул анын ээси үчүн шайкештик чечими.

Бүтүндүктү соодадан тышкары кармаңыз

Бүтүндүк текшерүүлөрүн өчүрүү же текшерилбеген серверди кабыл алуу — натыйжалуулукту оптималдаштыруу эмес жана шайкештикти оңдоо эмес. Ал курулуш тандалган коопсуздук касиетин өзгөртөт. Кабыл алынган шифрлар тизмесин эски тең клиент туташканга чейин кеңейтүү да ошондой: байланыш ийгиликтүү болот, ал эми саясат эми жок.

Кабыл алынган курулушту жана анын ээсин колдонмого жазыңыз, кийинки өзгөртүү табиттен эмес, чечимден башталсын.

Сиз каалаган нерсе — эки тарап тең колдоно алган саясат. Кайсы ат эң күчтүү деген талаш — башка сөз, ал адатта чечимсиз бүтөт.