Gedeelten DH-Grupp, frësch Geheimnisser: firwat den Ugrëff méi bëlleg gëtt

D'Gruppeparameter si vu Virgesinn ëffentlech, an genau déi Ëffentlechkeet mécht se liicht ze iwwersinn. Am Diffie-Hellman iwwer engem endleche Feld sinn de Modul an de Generator gedeelt, awer déi privat Exponenten an déi doraus entstinn Sitzungsschlëssel net. Déi deier Phas vun engem Ugrëff mam Zuelenfeld-Sif hänkt vun der Grupp of an net vun engem eenzegen Austausch, dofir gëtt eng eenzeg schwaach Grupp, déi iwwerall benotzt gëtt, eng gedeelte Verantwortung. D'Parameteren ëffentlech ze nennen ass korrekt a niewent dem Punkt, well de Käschte, dee reutiliséiert gëtt, de Käschte vum Ugrëff op genau déi Grupp ass.

Déi ëffentlech Halschent ass net déi vulnérabel Halschent, an do ass d'Falle

Dat gewinnt Hallef-Argument seet, d'Parameteren sinn an engem Standard publizéiert, dofir kennt en Ugräifer se schonn an et ze verstoppen géif näischt änneren. Béid Aussagen sinn wouer an keng follegt aus der anerer. Eng matgeliwwert Standardgrupp ass ëffentlech, an eng privat Grupp, déi Dir d'lescht Woch generéiert hutt, ass och sichtbar fir jiddereen, deen den Handshake fäerdeg mécht. Geheimhaltung war ni d'Kontroll; Stäerkt a Validéierung sinn et.

Wat sech ännert, ass wéi vill Plaze mat der selwechter Schwächt deelen. Eng Organisatioun, déi hir eege 2048-Bit-Grupp generéiert, bezilt hir eege Ugrëffskäschten, wärend en Protokoll-Standardwäert, deen aus Millioune gewielt gëtt, eng eenzeg Käschte op si all amortiséiert. An deem Sënn ass eng ongewéinlech Grupp net automatesch besser. Eng ongewéinlech Grupp, déi ze kleng ass, ass just e méi klengt gedeelt Geheimnis mat manner Aen drop.

D'Validéierung zielt esou vill wéi d'Gréisst. E Partner, deen e Modul mat klengen Faktore schéckt, oder een, deen net déi Form huet, déi de Protokoll erwaart, kann Informatioun iwwer de private Exponent lecke loossen, och wann d'Bitlängt respektabel ausgesäit. Bibliothéiken, déi fehlerhaft Parameteren um Agang ofleenen, maachen richteg Aarbecht, dofir ass handgeschriwwen Parameter-Parsing eng schlecht Plaz, fir Effort ze spueren.

Wat d'Virberechnung engem Ugräifer tatsächlech bréngt

D'Zuelenfeld-Sif huet eng Phas, déi just vun der Primzuel ofhängt, an hire Resultat ass géint all Austausch reutiliséierbar, deen déi Primzuel benotzt. Dat ass dee ganze Mechanismus hannert der historescher Suerg: deen deieren Deel gëtt eemol bezuelt, an d'Marginalkäschte vun all weiderer Sitzung fale. Frësch Exponente schützen nach ëmmer all eenzelen Austausch virun engem passive Observateur, sou laang d'Grupp grouss genuch ass, fir d'Sif onméiglech ze maachen. Déi zwou Aussagen si vereinbar, an déi meescht Diskussiounen zu dësem Thema kommen doraus, datt een déi eng hëlt an déi aner fale léisst.

D'Logjam-Aarbecht vun 2015 huet eng Downgrade op 512-Bit-Export-Qualitéit-Diffie-Hellman demonstréiert an huet geschat, wat et kascht, méi grouss, breet reutiliséiert Gruppe mat bedeitende Ressourcen unzegräifen. D'Demonstratioun war konkret, d'Schätzunge ware Schätzungen, an näischt vun zwou war de Beweis, datt eng bestëmmte VPN-Sitzung decryptéiert gouf.

Zitéier d'Aarbecht fir de Mechanismus an fir den demonstréierte Downgrade, net als eng Mesung vun Ärem Deploiement. Al Statistiken driwwer, wéi vill Serveren eng Standardgrupp gedeelt hunn, beschreiwen den Internet vun deem Joer, net en Netzwierk, dat Dir haut kënnt iwwerpréifen. Wat sech verlount, ass d'Fro: verhandelen Är Apparater nach ëmmer eng Grupp, déi kleng oder schwaach validéiert ass?

Standardiséiert ass net d'selwecht wéi schwaach

RFC 7919 definéiert benannte Gruppe vum endleche Feld, sou datt béid Enner sech iwwer eng Grupp duerch Identifiant eens ginn an eng konsequent Politik uwenden. Standardiséiert ze sinn ass e Virdeel, well et d'Ambiguitéit vun der Verhandlung ewech hëlt an et enger Implementatioun erlaabt, net ënnerstëtzt Gréissten ofzeleenen. Eng benannte Grupp ass just schwaach, wann hir Gréisst ënner der Politik läit, déi Dir behaapt ze befollegen, net well se an engem Dokument erschéngt. Déi selwecht Logik gëllt fir elliptesch-Kurve-Gruppen, déi eng aner Struktur an aner Feeler-Modi hunn.

Halt d'Konstruktiounen auserneen, wann Dir iwwer si nodenkt. Eng Conclusioun iwwer Diffie-Hellman iwwer engem endleche Feld seet näischt iwwer X25519, an eng Conclusioun iwwer eng 1024-Bit-MODP-Grupp seet näischt iwwer eng mat 3072 Bit. D'Stäerkt-Politik ass pro Mechanismus, pro Gréisst a pro Protokollversioun, dofir ass de Saz staark Kryptografie keng iwwerpréifbar Aussag.

D'Authentifikatioun ass déi aner Halschent, an si ersetzt näischt. Eng staark Grupp ouni Partner-Verifikatioun léisst en Ugräifer an der Mëtt, an e gültegt Zertifikat kann en 768-Bit-Austausch net retten. Iwwerpréift se als zwou onofhängeg Linnen, a bestätegt dann, datt béid tatsächlech verhandelt ginn.

Liest déi verhandelt Grupp op enger richteger Verbindung

Liest déi verhandelt Grupp vum Apparat an net vum Konfiguratiouns-Template. Template beschreiwen d'Absicht, an deen interessante Wäert ass deen, iwwer deen déi zwou Säiten am leschten Handshake eens goufen. Op engem IPsec-Endpunkt dréckt de Status-Output normalerweis de gewielte Virschlag, inklusiv der MODP-Grupp.

Fänkt déi Linn virun an no enger Politik-Ännerung of, a behält béid am Ännerungsprotokoll. De Verglach ass de Beweis.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Wann de Status no der Ännerung nach ëmmer déi al Grupp weist, huet d'Verbindung net nei verhandelt an d'Konfiguratiounsännerung huet näischt bewisen. Start de Partner nei oder läscht d'Sécherheetsassociatioun, a liest dann de Status nees. Eng Politik, déi just op nei Verbindunge forcéiert gëtt, léisst laanglieweg Tunnelen op deenen alen Parameteren, sou laang se stinn.

Trennt d'Grupp an d'Identitéit vum Partner

Trennt, wat d'Grupp schützt, dovun, wien um aneren Enn ass. Registréiert d'Schlësselaustauschmethod, d'Gréisst vun der Grupp an d'Authentifikatiounsmethod als dräi Felder, well si onofhängeg feelen. En Tunnel, deen eng 3072-Bit-Grupp verhandelt huet, awer all Zertifikat akzeptéiert, ass net deeselwechte Risiko wéi een, deen e Partner pinnt an eng 2048-Bit-Grupp benotzt.

Schreift d'Akzeptanzkriterien op, ier d'Revue ufänkt, sou datt d'Resultat e Verglach ass an net eng Meenung. Eng Mindestgruppegréisst pro Protokollversioun, eng Lëscht mat erlaabten benannte Gruppe an eng obligationell Partner-Verifikatioun duergen, fir d'Entscheedung mechanesch ze maachen. D'Ambiguitéit an där Lëscht ass et, wat eng Revue an eng Diskussioun verwandelt, an Diskussioune ginn net behuewen. Dann ass de Resultat eng Lëscht vun Endpunkten, déi eng uginn Regel verletzen.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Schléisst de Krees, andeems Dir déi verhandelt Wäerter no der Behiewung nach eng Kéier liest. Eng konform Konfiguratiounsdatei ass kee Beweis, datt en Tunnel se iwwerholl huet. De Status-Output an een frëschen Handshake sinn de Beweis, an se ze sammelen kascht manner Zäit wéi d'Reunioun driwwer, ob se néideg sinn.