DES géint 3DES an engem VPN: firwat déi zwou de falschen Upgrade sinn

Béid Chiffre sinn al a keng vun hinnen ass dat richtegt Zil fir neien Trafik. De nëtzlechen Verglach ass net DES géint 3DES; et ass e pensionéierten Algorithmus géint en ënnerhalenen. Wann e Gateway nach eng vun deenen zwee ubitt, ass d'Aarbecht erauszefannen wat se verlaangt an déi Ufuerderung ewech ze huelen, net déi staark vun zwou Sakgassen ze wielen.

De Verglach, deen d'Leit nach sichen, ass dee falschen

Äntwerten aus den 2000er Jore vergläichen DES mat dräifachem DES a kommen zum Schluss, datt dräifachen DES méi staark ass. Dat war deemools vernünfteg an ass haut nëtzlos, well béid fir de Schutz vum neien Trafik pensionéiert sinn an d'Wiel tëschent hinnen eng Wiel tëschent zwou Sakgassen ass.

NIST huet den DES-Standard 2005 zeréckgezunn, a seng TDEA-Empfehlung gouf am Januar 2024 zeréckgezunn, nodeems den Termi fir d'Uwendung vun TDEA op nei kryptografesch Schutz Enn 2023 ofgelaf war. Déi Datumer beschreiwen en Iwwergang, keng Ranglëscht. Eng kuerz Sessioun oder eng Noriicht vun niddregem Wäert mécht d'Fro net nei op, well de Status vum Algorithmus net dovun ofhängt, wéi laang de Schlëssel benotzt gëtt.

Schlësselerneierung ass eng separat Kontroll, an et stellt d'Approbatioun net erëm hier.

Trennt d'Verhandlunge vum Datenwee

VPN-Protokoller verhandelen de Schutz op méi wéi enger Plaz. E Kontrollkanal kann eng Suite benotzen, während déi transportéiert Daten eng aner benotzen, an eng Propositiounslëscht seet just wat e Peer bereet ass ze akzeptéieren. Liest d'verhandelt Resultat, net d'Offer. Dee Contraercherkläert eng heefeg Verwiesselung: e Gateway listet nach en alen Algorithmus an den Operateur geet dovun aus, datt en a Gebrauch ass, woubäi en ugebueden a ni gewielt ka ginn, oder just fir ee Peer gewielt gëtt.

Op engem IPsec-Gateway ass de relevante Output d'Sécherheetsassociatioun; op OpenVPN sinn et d'Chiffre- an TLS-Astellungen am Verbindungslog. Béid soen, wat gewielt gouf. Keent gëtt duerch eng al Optioun bewisen, déi nach an enger Konfiguratiounsdatei steet.

Wann Dir d'verhandelt Resultat net gesitt, kënnt Dir net behaapten, datt d'Chiffre pensionéiert gouf.

Fannt d'Komponent, déi se nach verlaangt

Al Ufuerderunge kommen aus dräi Plazen: en ale Client, deen näischt Besseres ubitt, eng Gateway-Politik, déi den Algorithmus nach auflëscht, an en Apparat, deen nëmmen dat aalt Protokoll schwätzt. Jiddereen huet eng aner Léisung. Frot den Eegentümer vun der Aschränkung wat et ass, ier Dir e Kompatibilitéitsprovider aktivéiert, well seng Aktivéierung all Peer beaflosst, dee sech verbënnt.

Fir een eenzegen Apparat, deen nach net ka ersat ginn, setzt en ënnerhalenen Gateway dovirun a limitéiert wat déi Grenz transportéiert. Dat hält déi al Chiffre op, ouni datt all Remote-Benotzer se ierft.

Aschränkung ass net e Patch, an et mécht den ale Host net vertrauenswürdeg.

Migréiert mat de Kontrollen, déi Dir schonn hutt

Eng Migratioun ass fäerdeg wann déi virgesinn Peeren sech mam ënnerhalene Profil verbannen, d'verhandelt Suite déi ass déi Dir erwaart hutt, an d'Applikatioun funktionéiert. Halt d'Serveridentitéitsverifikatioun an d'Kontokontrollen déi ganz Zäit; eng Chiffreännerung ass kee Grond, se ze lackeren.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Notéiert d'Client- an Gateway-Versiounen niewent dem verhandelte Resultat, sou datt déi nächst Iwwerpréiwung ka soen wat sech tatsächlech geännert huet.

Zitt déi al Erlaabnes iwwer hire Propriétaire zeréck, a bestätegt dann datt e Peer, deen nëmmen de pensionéierten Algorithmus ubitt, elo ofgelehnt gëtt. Eng Migratioun déi déi al Optioun aktiv léisst ass eng Migratioun déi net geschitt ass. Halt d'Beweis vun der Oflehnung beim Ännerungsrekord, well de nächsten Audit freet wéi Dir et wësst, an eng geläschte Konfiguratiounslinn ass méi e schwaache Beweis wéi eng geloggt Oflehnung. Füügt den Testdatum an d'Identitéit vum Peer bäi dee Rekord, soulaang d'Sessioun nach frësch ass.

Historesch Daten sinn en anere Problem

En Archi, deen viru Joren geschützt gouf, ze liese kann den alen Algorithmus legitimerweis verlaangen. Dat ass Decryptioun vun existentem Material, an et ass net déiselwecht Aufgab wéi neien Trafik ze schützen.

Halt sou Aarbecht op engem isoléierten Host mat engem dokumentéierte Zweck an enger kuerzer Lëscht vu wien se ausféiere darf.

Den Ënnerscheed ass wichteg well et den eenzegen éierleche Grond ass fir eng pensionéiert Chiffre verfügbar ze halen. Et justifizéiert en agegrenzt Instrument, ni eng permanent Linn an engem ëffentleche VPN-Profil.