DES pret 3DES VPN: kāpēc abi ir nepareizs jauninājums

Abi šifri ir novecojuši, un neviens no tiem nav pareizais mērķis jaunam trafikam. Noderīgais salīdzinājums nav DES pret 3DES; tas ir izņemts algoritms pret uzturētu. Ja vārteja joprojām piedāvā kādu no tiem, uzdevums ir noskaidrot, kas to prasa, un noņemt šo prasību, nevis izvēlēties stiprāko no diviem strupceļiem.

Salīdzinājums, ko cilvēki joprojām meklē, ir nepareizais

2000. gados rakstītās atbildes salīdzina DES ar trīskāršo DES un secina, ka trīskāršais DES ir stiprāks. Toreiz tas bija saprātīgi, tagad tas ir bezjēdzīgi, jo abi ir izņemti jauna trafika aizsardzībai un izvēle starp tiem ir izvēle starp diviem strupceļiem.

NIST 2005. gadā atsauca DES standartu, un tā TDEA ieteikums tika atsaukts 2024. gada janvārī pēc tam, kad 2023. gada beigās beidzās termiņš TDEA piemērošanai jaunai kriptogrāfiskajai aizsardzībai. Šie datumi apraksta pāreju, nevis reitingu. Īsa sesija vai mazvērtīga ziņa jautājumu no jauna neatver, jo algoritma statuss nav atkarīgs no tā, cik ilgi atslēga tiek izmantota.

Atslēgas atjaunošana ir atsevišķa kontrole, un tā neatjauno apstiprinājumu.

Atdaliet sarunas no datu ceļa

VPN protokoli vienojas par aizsardzību vairāk nekā vienā vietā. Vadības kanāls var izmantot vienu komplektu, kamēr pārvadātie dati izmanto citu, un priekšlikumu saraksts tikai norāda, ko partneris ir gatavs pieņemt. Lasiet sarunāto rezultātu, nevis piedāvājumu. Šī atšķirība izskaidro biežu apjukumu: vārteja joprojām uzskaita vecu algoritmu un operators pieņem, ka tas tiek izmantots, lai gan to var piedāvāt un nekad neizvēlēties, vai izvēlēties tikai vienam vecam partnerim.

IPsec vārtejā attiecīgais izvads ir drošības asociācija; OpenVPN gadījumā tas ir šifrs un TLS iestatījumi savienojuma žurnālā. Abi norāda, kas tika izvēlēts. Nevienu neapstiprina veca opcija, kas joprojām ir konfigurācijas failā.

Ja neredzat sarunāto rezultātu, jūs nevarat apgalvot, ka šifrs ir izņemts.

Atrodiet komponentu, kas to joprojām pieprasa

Vecās prasības nāk no trim vietām: vecs klients, kas nepiedāvā neko labāku, vārtejas politika, kas joprojām uzskaita algoritmu, un ierīce, kas runā tikai veco protokolu. Katram ir atšķirīgs risinājums. Pirms iespējojat saderības nodrošinātāju, pajautājiet ierobežojuma īpašniekam, kurš tas ir, jo tā iespējošana ietekmē katru pieslēgto partneri.

Vienai ierīcei, ko vēl nevar nomainīt, novietojiet priekšā uzturētu vārteju un ierobežojiet, ko šī robeža pārvadā. Tas ietver veco šifru, neliekot katram attālinātajam lietotājam to mantot.

Ierobežošana nav ielāps, un tā nepadara veco resursdatoru uzticamu.

Migrējiet ar pārbaudēm, kas jums jau ir

Migrācija ir pabeigta, kad paredzētie partneri savienojas ar uzturēto profilu, sarunātais komplekts ir tas, ko gaidījāt, un lietojumprogramma darbojas. Visu laiku saglabājiet servera identitātes pārbaudi un konta pārbaudes; šifra maiņa nav iemesls tās atslābināt.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Pierakstiet klienta un vārtejas versijas blakus sarunātajam rezultātam, lai nākamā pārskatīšana varētu pateikt, kas patiešām mainījās.

Atsauciet veco atļauju ar tās īpašnieka starpniecību, pēc tam apstipriniet, ka partneris, kas piedāvā tikai izņemto algoritmu, tagad tiek noraidīts. Migrācija, kas atstāj veco opciju iespējotu, ir migrācija, kas nav notikusi. Saglabājiet noraidījuma pierādījumu kopā ar izmaiņu ierakstu, jo nākamais audits jautās, kā jūs to zināt, un dzēsta konfigurācijas rinda ir vājāks pierādījums nekā reģistrēts noraidījums. Pievienojiet testa datumu un partnera identitāti šim ierakstam, kamēr sesija vēl ir svaiga.

Vēsturiskie dati ir cita problēma

Lasīt arhīvu, kas aizsargāts pirms gadiem, var likumīgi prasīt veco algoritmu. Tā ir esošā materiāla atšifrēšana, un tas nav tas pats uzdevums kā jauna trafika aizsardzība.

Turiet šādu darbu izolētā resursdatorā ar dokumentētu mērķi un īsu sarakstu, kas to drīkst izpildīt.

Atšķirība ir svarīga, jo tas ir vienīgais godīgais iemesls, kāpēc izņemts šifrs paliek pieejams. Tas attaisno ierobežotas jomas rīku, nekad pastāvīgu rindu publiskā VPN profilā.