AES-256 oder OFB: eng komplett VPN-Verschlësselungskonstruktioun auswielen

AES-256 an OFB beäntweren ënnerschiddlech Froen, an hei geet et bei Chiffre-Iwwerpréiwungen schief, wann se als konkurréierend Optioune behandelt ginn. Dat een nennt eng Blockchiffre mat enger Schlëssellängt; dat anert beschreift, wéi eng Blockchiffre fir eng méi laang Noriicht an e Stroum ëmgewandelt gëtt. E Handbuch fir d’Auswiel vum Schutz muss déi ganz Konstruktioun ukucken, dorënner wéi den Empfänger e verännert Paket erkennt.

Nennt déi véier Deeler vun der Konstruktioun

All Iwwerpréiwung kënnt op véier Froen erof: wéi eng Primitive an ëm wéi eng Schlëssellängt, wéi Noriichte domat verschafft ginn, wéi den Empfänger eng net autoriséiert Ännerung ofleent an wéi de Protokoll Inputen, Schlësselen an hir Liewensdauer verwalt. Eng Lëscht mat bekannten Nimm beäntwert just déi éischt. Déi zweet an déi drëtt sinn do, wou déi richteg Ënerscheeder leien, an déi véiert do, wou d’Implementatiounen sech roueg trennen. Frot se an där Rei a schreift d’Äntwerten op.

OFB steet ënner de Vertraulechkeetsmodi an der NIST-Publikatioun iwwer Blockchiffre-Modi, an d’Vertraulechkeet ass alles, wat et bitt. E Protokoll, deen e Verschlësselungsmodus mat engem separate MAC verknäppt, muss se richteg zesummesetzen, an en Algorithmusnumm beweist déi Zesummesetzung net. Dofir kann den Numm vum Modus eleng keng Asazentscheedung treffen.

Déi véiert Fro ass déi, déi en Operateur wierklech um lafende System kontrolléiere kann.

Bevirzugt eng authentiséiert Konstruktioun

Authentiséiert Verschlësselung gëtt Vertraulechkeet an Integritéit zesummen, an AEAD-Konstruktiounen schützen och associéiert Daten géint Ännerung, ouni se ze verschlësselen. Dat ass eng Eegeschaft vum Paketschutz, an et huet näischt domat ze dinn, ob eng Persoun sech erfollegräich ugemellt huet.

D’Netgate-Leitfued zu den Kryptosettings vum OpenVPN weist fir den Datekanal op AEAD-Optiounen, dorënner AES-GCM, an dat ass déi Aart ënnerstëtzter Politik, déi een deverfollege soll. Benotzt d’Wale, déi déi installéiert Versioun an d’Peer-Clienten ënnerstëtzen, amplaz eng historesch Modusreiefolleg an eng nei Asazsetzung ze kopéieren. Al Kompatibilitéit, Krypto-Backenden an Offload-Ënnerstëtzung begrenzen dat, wat wierklech disponibel ass.

Eng ënnerstëtzt Konstruktioun schléit eng clever Zesummesetzung all Kéier.

Liest dat ausgehandelt Resultat, net d’Ugebot

Eng Chiffre op enger akzeptéierter Lëscht seet näischt iwwer déi aktuell Sessioun. Liest den ausgehandelten Datekanalschutz beim Client oder um Gateway a vergläicht en duerno mat der Politik, déi Dir wollt ëmsetzen. Eng Konfiguratioun, déi nach ëmmer eng al Optioun fir en ale Peer opzielt, ass eng Kompatibilitéitsentscheedung, keng Ausso iwwer d’Sessioun virun Iech.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Um Gateway ass den equivalent Output d’Sécherheetsassociatioun oder d’Kryptodetailer vun der Verbindung, jee no Plattform. An de béide Fäll sinn d’Ugebot an d’Resultat ënnerschiddlech Fakten. Eng Lëscht mat enger aler Optioun fir en ale Peer bedeit net, datt all Sessioun se benotzt, an déi Sessioun, déi et mécht, ass dat, wat Dir misst wëssen.

Schreift béid Fakten zesummen op, mat Datum a Clientversioun.

Moosst just dat, wat vergläichbar ass

Den Duerchgang hänkt vun der Hardware vun den Endpunkten, der Implementatioun, der Beschleunegung, de Paketgréissten an der gewielter Konfiguratioun of. Weder d’Schlëssellängt nach d’Wuert OFB soen Iech, wéi eng Asazsetzung méi séier wäert sinn. Dofir ass e Benchmark vun enger anerer Säit am beschten en Hiwäis op Hardware, déi een aneren huet. Är eege Zuelen fänken un Ären eegenen Endpunkten un.

Fir e geneemten Verglach hält d’Endpunkten, d’Aarbechtslaascht an déi gefuerdert Politik konstant a schreift den ausgehandelte Schutz souwéi d’Implementatiounsversiounen op. Bewäert duerno d’Resultat no, ob d’Applikatioun fäerdeg gouf, wéi vill se verluer huet a wat d’Endpunkten gemaach hunn, amplaz d’Kryptokäschten aus engem eenzegen Tempptest ofzeleeden. Eng Zuel, déi ënner anere Konditiounen entstanen ass, ass eng Geschicht, keng Moossnam.

Wann en ale Peer d’Politik net erfëlle kann, ass dat eng Kompatibilitéitsentscheedung fir säin Eegentemer.

Hält d’Integritéit aus dem Handel eraus

Integritéitskontrollen ausschalten oder en onverifizéierte Server akzeptéieren ass keng Leeschtungsoptimiséierung an och keng Kompatibilitéitskorrektur. Et ännert d’Sécherheetseegeschaft, fir déi d’Konstruktioun gewielt gouf. Datselwecht gëllt fir d’Lëscht vun akzeptéierten Chiffren ze vergréisseren, bis en ale Peer sech verbënnt: d’Verbindung geléngt an d’Politik existéiert net méi.

Schreift déi akzeptéiert Konstruktioun an hire Besëtzer an d’Handbuch, sou datt déi nächst Ännerung mat enger Entscheedung ufänkt an net mat enger Preferenz.

Wat Dir wëllt, ass eng Politik, déi béid Säiten ëmsetze kënnen. D’Diskussioun, wéi ee Numm dee stäerksten ass, ass en anert Gespréich, an et endet meeschtens ouni Entscheedung.