VPN'де DES жана 3DES: эмне үчүн экөө тең туура эмес жаңыртуу

Эки шифр тең эскирген жана экөө тең жаңы трафик үчүн туура бута эмес. Пайдалуу салыштыруу — DES 3DES'ке каршы эмес; бул колдонуудан чыгарылган алгоритмдин колдоого алынган алгоритмге каршы салыштыруусу. Эгер шлюз дагы эле алардын бирин сунуштаса, милдет — эмне аны талап кылаарын табуу жана ошол талапты алып салуу, эки туюктун күчтүүсүн тандоо эмес.

Адамдар дагы издеп жаткан салыштыруу — туура эмес

2000-жылдары жазылган жооптор DES'ти үч эселенген DES менен салыштырып, үч эселенген DES күчтүүрөөк деген тыянакка келишет. Ошондо бул акылга сыярлык эле, азыр пайдасыз, анткени экөө тең жаңы трафикти коргоо үчүн колдонуудан чыгарылган жана алардын ортосундагы тандоо — эки туюктун ортосундагы тандоо.

NIST 2005-жылы DES стандартын кайтарып алды, ал эми анын TDEA сунуштамасы 2024-жылдын январында кайтарып алынды, анткени TDEA'ны жаңы криптографиялык коргоого колдонуу мөөнөтү 2023-жылдын аягында бүткөн. Бул күнүмдөр өтүүнү сүрөттөйт, рейтингди эмес. Кыска сессия же баасы төмөн билдирүү маселени кайра ачпайт, анткени алгоритмдин статусу ачкычтын канча убакыт колдонулаарына байланыштуу эмес.

Ачкычты жаңыртуу — өзүнчө көзөмөл, жана ал уруксатты калыбына келтирбейт.

Сүйлөшүүлөрдү маалымат жолунан бөлүңүз

VPN протоколдору коргоо боюнча бир нече жерде сүйлөшөт. Көзөмөл каналы бир топтомду колдонушу мүмкүн, ал эми ташылып жаткан маалымат башкасын, жана сунуштар тизмеси өнөктөш кабыл алууга даяр нерсени гана айтат. Сунушту эмес, сүйлөшүлгөн жыйынтыкты окуңуз. Бул айырма кеңири тараган башаламандыкты түшүндүрөт: шлюз дагы эле эски алгоритмди тизмелейт жана оператор анын колдонулуп жатканын божомолдойт, бирок ал сунушталып, эч качан тандалбашы мүмкүн, же бир гана эски өнөктөш үчүн тандалышы мүмкүн.

IPsec шлюзинде тиешелүү чыгуу — коопсуздук ассоциациясы; OpenVPN боюнча бул туташуу журналындагы шифр жана TLS параметрлери. Экөө тең эмне тандалганын айтат. Экөө тең конфигурация файлында калган эски параметр менен далилденбейт.

Сүйлөшүлгөн жыйынтыкты көрө албасаңыз, шифр колдонуудан чыгарылды деп айта албайсыз.

Аны дагы эле талап кылган компонентти табыңыз

Эски талаптар үч жерден келет: жакшыраак нерсе сунуштабаган эски кардар, алгоритмди дагы эле тизмелеген шлюз саясаты жана эски протоколду гана сүйлөгөн түзмөк. Ар биринин өз чечими бар. Шайкештик провайдерин иштетүүдөн мурун чектөөнүн ээсинен кайсы экенин сураңыз, анткени аны иштетүү туташкан ар бир өнөктөшкө таасир этет.

Азырынча алмаштырууга болбой турган жалгыз түзмөк үчүн анын алдына колдоого алынган шлюз коюп, ошол чектин эмнени ташыарын чектеңиз. Бул эски шифрди кармайт, бирок ар бир алыскы колдонуучу аны мурастабайт.

Чектөө — жамаачы эмес, жана ал эски хостту ишенимдүү кылбайт.

Өзүңүздө бар текшерүүлөр менен көчүңүз

Көчүү көздөгөн өнөктөштөр колдоого алынган профил менен туташканда, сүйлөшүлгөн топтом күткөндөй болгондо жана колдонмо иштегенде аяктайт. Сервердин инсандыгын текшерүү жана эсеп текшерүүлөрүн бардык убакта кармаңыз; шифрдин өзгөрүшү аларды бошотууга себеп эмес.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Кардар менен шлюздун версияларын сүйлөшүлгөн жыйынтыктын жанына жазыңыз, кийинки кароо чындыгында эмне өзгөргөнүн айта алсын.

Эски уруксатты анын ээси аркылуу кайтарып алыңыз, анан колдонуудан чыгарылган алгоритмди гана сунуштаган өнөктөш эми четке кагылаарын ырастаңыз. Эски параметрди күйүк туруп калтырган көчүү — болбогон көчүү. Четке кагуу далилин өзгөртүү жазуусу менен сактаңыз, анткени кийинки аудит кантип билгениңизди сурайт, ал эми өчүрүлгөн конфигурация сабы жазылган четке кагуудан алсыз далил. Сессия дагы жаңы кезинде ошол жазууга тест күнүн жана өнөктөштүн инсандыгын кошуңуз.

Тарыхый маалыматтар — башка маселе

Жылдар мурун корголгон архивди окуу мыйзамдуу түрдө эски алгоритмди талап кылышы мүмкүн. Бул бар материалдын шифрин чечүү жана жаңы трафикти коргоо менен бирдей милдет эмес.

Мындай ишти обочолонгон хостто, документтелген максат менен жана аны ким аткара аларынын кыска тизмеси менен кармаңыз.

Бул айырма маанилүү, анткени бул колдонуудан чыгарылган шифрди жеткиликтүү кармоонун жалгыз чынчыл себеби. Ал чектелген куралды актайт, коомдук VPN профилиндеги туруктуу сапты эч качан актабайт.