DES наспроти 3DES во VPN: зошто двете се погрешен надградба

Двата шифрара се застарени и ниту еден не е вистинската цел за нов сообраќај. Корисната споредба не е DES наспроти 3DES; тоа е повлечен алгоритам наспроти одржуван. Ако порта сè уште нуди еден од двата, работата е да се открие што го бара и да се отстрани тоа барање, а не да се избере посилниот од две ќор-сокаци.

Споредбата што луѓето сè уште ја бараат е погрешната

Одговорите напишани во 2000-тите ги споредуваат DES со тројниот DES и заклучуваат дека тројниот DES е посилен. Тоа тогаш беше разумно, а сега е бескорисно, бидејќи двата се повлечени за заштита на нов сообраќај и изборот меѓу нив е избор меѓу две ќор-сокаци.

NIST го повлече стандардот DES во 2005 година, а неговата препорака TDEA беше повлечена во јануари 2024 година откако на крајот на 2023 година истече рокот за примена на TDEA на нова криптографска заштита. Тие датуми опишуваат премин, не рангирање. Кратка сесија или порака со мала вредност не го отвораат повторно прашањето, бидејќи статусот на алгоритмот не зависи од тоа колку долго се користи клучот.

Обновувањето на клучот е посебна контрола и не го враќа одобрувањето.

Одделете го преговарањето од патеката на податоци

VPN протоколите преговараат заштита на повеќе од едно место. Контролниот канал може да користи еден сет, додека пренесените податоци користат друг, а списокот со предлози кажува само што е подготвен да прифати партнерот. Читајте го преговараниот резултат, а не понудата. Оваа разлика објаснува честа забуна: порта сè уште наведува стар алгоритам и операторот претпоставува дека се користи, кога може да се нуди и никогаш да не се избере, или да се избере само за еден стар партнер.

На IPsec порта релевантниот излез е безбедносната асоцијација; на OpenVPN тоа се шифрарот и TLS-поставките во дневникот за врска. Двете кажуваат што е избрано. Ниту едно не се докажува со стара опција што сè уште постои во конфигурациска датотека.

Ако не можете да го видите преговараниот резултат, не можете да тврдите дека шифрарот е повлечен.

Најдете ја компонентата што сè уште го бара

Барањата за наследени системи доаѓаат од три места: стар клиент што не нуди ништо подобро, политика на порта што сè уште го наведува алгоритмот и уред што зборува само стариот протокол. Секое има различно решение. Прашајте го сопственикот на ограничувањето кое е, пред да овозможите добавувач на компатибилност, бидејќи неговото овозможување влијае на секој партнер што се поврзува.

За еден уред што сè уште не може да се замени, ставете одржувана порта пред него и ограничете што пренесува таа граница. Тоа го задржува стариот шифрар без секој далечински корисник да го наследи.

Задржувањето не е закрпа и не го прави стариот домаќин доверлив.

Преселете се со проверките што веќе ги имате

Преселбата е завршена кога предвидените партнери се поврзуваат со одржуваниот профил, преговараниот сет е оној што го очекувавте и апликацијата работи. Одржувајте ја проверката на идентитетот на серверот и проверките на сметката постојано; промената на шифрарот не е причина да ги олабавите.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Запишете ги верзиите на клиентот и портата до преговараниот резултат, за да може следниот преглед да каже што навистина се сменило.

Повлечете го старото одобрување преку неговиот сопственик, потоа потврдете дека партнерот што нуди само повлечениот алгоритам сега се одбива. Преселба што ја остава старата опција овозможена е преселба што не се случила. Чувајте го доказот за одбивањето со записот за промената, бидејќи следната ревизија ќе праша како знаете, а отстранета конфигурациска линија е послаб доказ од забележано одбивање. Додајте го датумот на тестирањето и идентитетот на партнерот во тој запис додека сесијата е сè уште свежа.

Историските податоци се друг проблем

Читањето архива заштитена пред години може законски да бара стариот алгоритам. Тоа е дешифрирање на постоечки материјал и не е истата задача како заштита на нов сообраќај.

Држете таква работа на изолиран домаќин со документирана цел и краток список на тоа кој може да ја извршува.

Разликата е важна бидејќи тоа е единствената чесна причина да се држи повлечен шифрар достапен. Тоа го оправдува ограничената алатка, никогаш постојана линија во јавен VPN профил.