DES prieš 3DES VPN: kodėl abu yra netinkamas atnaujinimas

Abu šifrai pasenę, ir nė vienas nėra tinkamas naujo srauto tikslas. Naudingas palyginimas yra ne DES prieš 3DES; tai nebenaudojamas algoritmas prieš palaikomą. Jei tinklas vis dar siūlo vieną iš jų, užduotis yra išsiaiškinti, kas jo reikalauja, ir pašalinti tą reikalavimą, o ne rinktis stipresnį iš dviejų aklagatvių.

Palyginimas, kurio žmonės vis dar ieško, yra neteisingas

2000-aisiais rašyti atsakymai lygina DES su trigubu DES ir daro išvadą, kad trigubas DES yra stipresnis. Tada tai buvo pagrįsta, o dabar beprasmiška, nes abu yra nebenaudojami naujo srauto apsaugai ir pasirinkimas tarp jų yra pasirinkimas tarp dviejų aklagatvių.

NIST 2005 m. atšaukė DES standartą, o jo TDEA rekomendacija buvo atšaukta 2024 m. sausį, kai 2023 m. pabaigoje baigėsi TDEA taikymo naujai kriptografinei apsaugai terminas. Tos datos apibūdina perėjimą, o ne reitingą. Trumpa sesija ar mažos vertės pranešimas neatskleidžia klausimo iš naujo, nes algoritmo statusas nepriklauso nuo to, kiek ilgai naudojamas raktas.

Rakto atnaujinimas yra atskira kontrolė, ir ji neatkuria patvirtinimo.

Atskirkite derybas nuo duomenų kelio

VPN protokolai derasi dėl apsaugos daugiau nei vienoje vietoje. Valdymo kanalas gali naudoti vieną rinkinį, o perduodami duomenys – kitą, ir pasiūlymų sąrašas tik nurodo, ką partneris pasiruošęs priimti. Skaitykite suderėtą rezultatą, o ne pasiūlymą. Šis skirtumas paaiškina dažną sumaištį: tinklas vis dar išvardija seną algoritmą ir operatorius mano, kad jis naudojamas, nors jis gali būti siūlomas ir niekada nepasirinktas arba pasirinktas tik vienam senam partneriui.

IPsec tinkle atitinkama išvestis yra saugos asociacija; OpenVPN atveju tai yra šifras ir TLS nustatymai ryšio žurnale. Abu nurodo, kas buvo pasirinkta. Nė vieno neįrodo sena parinktis, vis dar esanti konfigūracijos faile.

Jei nematote suderėto rezultato, negalite teigti, kad šifras buvo nebenaudojamas.

Raskite komponentą, kuris vis dar jo reikalauja

Senuosius reikalavimus kelia trys šaltiniai: senas klientas, nesiūlantis nieko geresnio, tinklo politika, vis dar išvardijanti algoritmą, ir įrenginys, kalbantis tik senuoju protokolu. Kiekvienas turi skirtingą sprendimą. Prieš įjungdami suderinamumo teikėją, paklauskite apribojimo savininko, kuris tai yra, nes jo įjungimas paveikia kiekvieną prisijungiantį partnerį.

Vienam įrenginiui, kurio dar negalima pakeisti, pastatykite prieš jį palaikomą tinklą ir apribokite, ką ta riba perduoda. Tai sutalpina seną šifrą nepriversdama kiekvieno nuotolinio vartotojo jo paveldėti.

Apribojimas nėra lopas, ir jis nepadaro seno mazgo patikimo.

Migruokite su patikromis, kurias jau turite

Migracija baigiama, kai numatyti partneriai prisijungia su palaikomu profiliu, suderėtas rinkinys yra tas, kurio tikėjotės, ir programa veikia. Visą laiką palaikykite serverio tapatybės patvirtinimą ir paskyros patikras; šifro pakeitimas nėra priežastis jų atlaisvinti.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Užrašykite kliento ir tinklo versijas šalia suderėto rezultato, kad kitą peržiūrą galėtų pasakyti, kas iš tikrųjų pasikeitė.

Panaikinkite seną leidimą per jo savininką, tada patvirtinkite, kad partneris, siūlantis tik nebenaudojamą algoritmą, dabar atmetamas. Migracija, paliekanti seną parinktį įjungtą, yra migracija, kuri neįvyko. Saugokite atmetimo įrodymą kartu su pakeitimo įrašu, nes kitas auditas paklaus, iš kur tai žinote, o pašalinta konfigūracijos eilutė yra silpnesnis įrodymas nei užregistruotas atmetimas. Pridėkite bandymo datą ir partnerio tapatybę prie to įrašo, kol sesija dar šviežia.

Istoriniai duomenys yra kita problema

Skaityti prieš metus apsaugotą archyvą gali teisėtai reikėti senojo algoritmo. Tai esamos medžiagos iššifravimas, ir tai nėra ta pati užduotis kaip naujo srauto apsauga.

Tokį darbą laikykite izoliuotame mazge su dokumentuotu tikslu ir trumpu sąrašu, kas gali jį vykdyti.

Skirtumas svarbus, nes tai vienintelė sąžininga priežastis laikyti nebenaudojamą šifrą prieinamą. Jis pateisina ribotos apimties įrankį, niekada – nuolatinės eilutės viešame VPN profilyje.