OpenVPN EC vs ED: firwat d'Nimm keng Stäerkteleeder sinn

Setzt ec, ed, ecdh, ecdsa, auth an eng Lëscht vun TLS-Verschlësselungen niefteneen an engem Profil, an d'Datei fänkt un, wéi en Stäerkten-Dreiknäppche mat sechs Positioune auszegesinn. Awerm net. All Numm äntwert op eng aner Fro, an zwee Profiler, déi sech an engem vun hinnen ënnerscheeden, sinn net onbedéngt méi staark oder méi schwaach wéi deen aneren. D'Nimm no der Aarbecht ze sortéieren, déi si maachen, hëlt ongeféier fënnef Minutten a verhënnert déi meescht vun de schlechten Ännerungen, déi d'Leit un enger funktionéierender Konfiguratioun maachen.

D'Sortéierung hei drënner fänkt bei der Verwiessele selwer un an geet dann no baussen zu deenen Deeler vum Profil, déi wierklech decidéieren, wat Ären Trafic schützt. All Sektioun hëlt eng falsch Liesung an der Rei a weist, un wat den Numm wierklech gebonnen ass.

Zwou Buschtawen, zwou verschidde Froe

Dat Paar, dat am meeschte Streidereien ausléist, ass EC an ED, an d'Diskussioun hëlt gewéinlech un, si wieren zwee konkurréierend Äntwerten op eng Fro. Si sinn net emol op der selwechter Achs. EC beschreift eng Famill vun der Mathematik: Kryptographie mat elliptesche Kuerwen, wou d'Sécherheet aus der Schwieregkeet vun engem diskreten Logarithmus op enger Kuerwe kënnt an net an engem groussen endleche Feld.

ED beschreift eng Kuerwenform bannent där Famill. Twisted Edwards-Kuerwen sinn eng Duerstellung, déi wéinst der Geschwindegkeet an der Resistenz géint verschidden Implementatiounsfeeler gewielt gouf, an Ed25519 ass den Numm, deen d'Leit gewéinlech mengen. D'Kuerwe ass keng Konkurrenz fir d'Kryptographie mat elliptesche Kuerwen; si ass eng Manéier, eng elliptesch Kuerwe ze schreiwen. ED als "dee méi neien, méi staarken EC" ze liesen ass déi éischt falsch Béi, an alles duerno ass gewéinlech falsch an déi selwecht Richtung.

Ënnerschreiwen an Austausch sinn getrennte Aarbechten

Wann d'Famillfro gekläert ass, deelen sech déi aner Nimm an zwou Sailen, déi sech ni ersetzen. Eng Sail ënnerschreift, déi aner eenegt sech op e gemeinsamt Geheimnis.

EdDSA an ECDSA ënnerschreiwen allebéid, awer et sinn ënnerschiddlech Schemaen mat ënnerschiddleche Schlësselformater, dofir kann ee Zertifikat, deen fir deen een ausgestallt gouf, net als deen aneren notzt ginn. EdDSA ass fir eng kleng Rei vu Kuerwe definéiert; P-256 ass keng dovun, dofir gëtt en P-256-Zertifikat mat ECDSA verifizéiert an ni mat Ed25519.

D'Austauschsail huet kee Géigestéck mam Numm EdDH. D'ephemer Eenegung op engem Curve25519-Schlëssel ass X25519, an dat ass ECDH mat enger bestëmmter Kuerwe, genau wéi et mam P-256 ass. Ed25519 heescht strikt d'Ënnerschrëftsschema, och wann den Numm locker fir den Austausch benotzt gëtt, well déi zwou Kuerwen ze dinn hunn: d'Edwards-Form fir d'Ënnerschreiwen an d'Montgomery-Form fir X25519 beschreiwen déi selwecht ënnerläichend Grupp.

Firwat en EC-Profil keng dh-Datei huet

Eng dh-Datei enthalet virgeneréiert Parameteren fir Diffie-Hellman am endleche Feld, an déi Parameteren existéieren, well eng grouss Primzuel an e Generateur vun iergendwou musse kommen. En Austausch op enger elliptescher Kuerwe brauch si net: déi genannten Kuerwe ass de Parametersatz, an déi zwou Säiten wëssen en schonn. Dat ass de ganzen Grond, firwat en EC-Profil d'Direktiv ka weglossen.

Zwou Situatiounen erzéien nach ëmmer eng dh-Zeil an engem Profil, deen anescht modern ausgesäit. Déi éischt ass en zweete Lauschterer oder e méi ale Partner, deen tatsächlech iwwer Gruppe vum endleche Feld verhandelt. Déi zweet ass Reschttext, deen aus enger Schabloun aus der RSA-Zäit kopéiert an ni ewechgeholl gouf. En Profil, deen eng Kuerwe fir den Austausch nennt an nach ëmmer eng dh-Datei vu 2048 Bit lued, ass net sécherer, well en dat gemaach huet; en dréit en onbenotzt Artefakt mat sech.

TLS 1.3 huet den Schlësselaustausch aus dem Numm geholl

Vergläicht TLS_AES_256_GCM_SHA384 mat TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384 an den méi kuerzen Numm gesäit aus wéi en Ofstuf. Et ass eng Ëmbenennung, an de Grond ass strukturell: TLS 1.3 huet statesch RSA an den Diffie-Hellman-Schlësselaustausch am endleche Feld ewechgeholl, dofir ass en ephemeren Austausch op enger elliptescher Kuerwe déi eenzeg verbleiwend Net-PSK-Optioun. En an all Suite ze nennen, géif déiselwecht Tatsaach eng Dosenmol widderhuelen.

Den Zertifikatstyp ass aus engem verwandte Grond aus dem Numm verschwonnen. An 1.3 authentifizéiert den Zertifikat d'Ënnerschrëft vum Handshake, net d'Schlësselvereenbarung, dofir wielt en d'Suite net méi. Dofir gëtt et och eng separat Verschlësselungslescht fir 1.3 an der Konfiguratioun: d'Suiten goufen ëmbenannt an nei organiséiert, net geschwächt.

Eng Konsequenz verdéngt et, kloer gesot ze ginn. ECDHE ass en Schlësselaustauschalgorithmus an ni eng Verschlësselung. Eng Suite, déi als "elliptesch" beschriwwe gëtt, seet eppes doriwwer, wéi déi zwou Parteien zu engem gemeinsame Schlëssel komm sinn, an näischt driwwer, wat duerno d'Notzlaascht verschlësselt.

auth authentifizéiert Paketen, net Notzlaaschten

D'Direktiv auth wielt den HMAC-Digest, deen d'Paketen authentifizéiert, an hire historeschen Standardwäert ass SHA1. Mat enger Datenverschlësselung ouni AEAD rechent OpenVPN den Digest iwwer den chiffréierten Text a bäit en derbäi, eng Encrypt-then-MAC-Anuerdnung, déi d'Manipulatioun vum Padding onpraktesch mécht.

De Mythos hei ass, datt et den Tunnel häert, wann een auth op SHA512 hieft. Et erhéicht net d'Stäerkt vun der Verschlësselung, an wann déi ausgehandelt Datenverschlësselung en AEAD-Modus wéi AES-256-GCM ass, gëtt den Digest guer net op Datenpakete ugewannt. Den GCM-Tag authentifizéiert si schonn, an de auth-Wäert bleift fir den HMAC vum Steierkanal an fir all nach benotzt Verschlësselung ouni AEAD.

D'Direktiv ass also wichteg, awer se ass op enger méi enker Plaz wichteg, wéi hir Positioun an der Datei vermuten léisst. Nokucken, wéi eng Verschlësselung tatsächlech ausgehandelt gouf, seet Iech, ob se iwwerhaapt gëllt.

Liest de Profil no Sail, net no Rang

Dräi Froen trennen d'Schichte propper, an all gëtt vun engem aneren Deel vun der ausgehandelt Sitzung beäntwert. Wéi eng Verschlësselung schützt d'Notzlaascht? Wéi en Tag oder Digest biergt fir all Pak, a brauch déi benotzt Verschlësselung iwwerhaapt eng? Wien säin Zertifikat huet den Handshake zougemaach, an ass de Steierkanal zousätzlech duerch tls-auth oder tls-crypt geschützt?

Näischt um EC- oder ED-Label decidéiert eng vun deenen dräi, an en Suitennumm eleng decidéiert och keng dovun. Dat ausgehandelt Resultat ass deen eenzegen Nowäis, also liest dat, amplaz d'Stäerkt aus dem Vokabular ofzeleeden:

openssl x509 -in client.crt -noout -text | grep -E 'Signature Algorithm|Public Key Algorithm'
grep -i 'control channel' /var/log/openvpn.log

Den éischte Kommando seet Iech, wéi en Ënnerschrëftsschema Ären Zertifikat tatsächlech benotzt, an dat ass déi eenzeg zouverlässeg Manéier ze wëssen, ob Dir ECDSA oder Ed25519 bedreift. Den zweete weist d'Steierkanalzeil, déi de Client fir d'Sitzung protokolléiert huet, inklusiv der TLS-Versioun an der Suite, op déi en sech gëeenegt huet. Wann eng Profilännerung net duerch eng vun dësen zwee Ausgabe ka gerechtfäerdegt ginn, ass et wahrscheinlech eng Ännerung un engem Numm an net un enger Eegenschaft.