Заедничка DH група, свежи тајни: зошто нападот станува поевтин

Параметрите на групата се јавни по дизајн, и токму таа јавност ги прави лесни за игнорирање. Кај Diffie-Hellman над конечно поле модулот и генераторот се заеднички, а приватните експоненти и добиените сесиски клучеви не се. Скапата фаза на нападот со сито по бројно поле зависи од групата, а не од една размена, затоа една слаба група што се користи насекаде станува заедничка одговорност. Да се наречат параметрите јавни е точно и не е суштината, бидејќи трошокот што се користи повторно е трошокот за напад на таа група.

Јавната половина не е ранливата половина, и тука е стапицата

Вообичаениот полуаргумент вели дека параметрите се објавени во стандард, па напаѓачот веќе ги знае и нивното криење ништо не би сменило. Двете тврдења се вистинити и ниту едно не произлегува од другото. Испорачаната стандардна група е јавна, а приватната група што ја генериравте минатата недела исто така е видлива за секој што ќе го заврши ракувањето. Тајноста никогаш не беше контролата; тоа се силата и валидацијата.

Она што се менува е колку места споделуваат иста слабост. Една организација што ја генерира својата 2048-битна група плаќа свој трошок за напад, додека протоколна стандардна вредност избрана од милиони амортизира еден трошок врз сите нив. Во таа смисла необичната група не е автоматски подобра. Необична група што е премногу мала е само помал заеднички тајна со помалку очи врз неа.

Валидацијата е важна колку и големината. Партнер што праќа модул со мали фактори, или таков што не е во формата што протоколот ја очекува, може да протече информации за приватниот експонент дури и кога битната должина изгледа достојно. Библиотеките што ги отфрлаат неисправните параметри уште при влезот вршат вистинска работа, затоа рачно напишаното парсирање параметри е лошо место за штедење труд.

Што всушност му носи пресметката однапред на напаѓачот

Ситото по бројно поле има фаза што зависи само од простиот број, и неговиот резултат е повеќекратно употреблив против секоја размена што го користи тој прост број. Тоа е целиот механизам зад историската загриженост: скапиот дел се плаќа еднаш, а маргиналниот трошок на секоја следна сесија паѓа. Свежите експоненти се уште ја штитат секоја поединечна размена од пасивен набљудувач, сѐ додека групата е доволно голема за ситото да биде неизводливо. Двете тврдења се компатибилни, и повеќето расправи за оваа тема произлегуваат од избирање на едното и отфрлање на другото.

Трудот Logjam од 2015 година покажа намалување на Diffie-Hellman од 512 бита со извозна класа и процени што би чинело нападот на поголеми, широко повторно користени групи со значителни ресурси. Демонстрацијата беше конкретна, процените беа процени, и ниту едно од двете не беше доказ дека одредена VPN сесија е дешифрирана.

Цитирајте го трудот заради механизмот и заради демонстрираното намалување, не како мерење на вашето распоредување. Старите статистики за тоа колку сервери делеле стандардна група го опишуваат интернетот од таа година, а не мрежа што можете да ја проверите денес. Корисното што се пренесува е прашањето: дали вашите уреди сѐ уште договараат група што е мала или слабо валидирана?

Стандардизирано не е исто што и слабо

RFC 7919 дефинира именувани групи над конечно поле за да се договорат двете страни за група по идентификатор и да применат конзистентна политика. Да се биде стандардизиран е предност, бидејќи ја отстранува двосмисленоста при договарањето и му дозволува на имплементацијата да одбие неподдржани големини. Именуваната група е слаба само кога нејзината големина е под политиката што тврдите дека ја следите, а не затоа што се појавува во документ. Истата логика важи и за групите на елиптични криви, кои имаат поинаква структура и поинакви режими на откажување.

Држете ги конструкциите одвоени кога размислувате за нив. Заклучокот за Diffie-Hellman над конечно поле не кажува ништо за X25519, а заклучокот за 1024-битна MODP група не кажува ништо за 3072-битна. Политиката за сила е по механизам, по големина и по верзија на протокол, затоа фразата силна криптографија не е проверливо тврдење.

Автентикацијата е другата половина и таа не заменува. Силна група без проверка на партнерот остава напаѓач во средината, а валиден сертификат не може да спаси 768-битна размена. Разгледајте ги како две независни линии, потоа потврдете дека двете навистина се договараат.

Прочитајте ја договорената група на вистинска врска

Договорената група читајте ја од уредот, а не од шаблонот за конфигурација. Шаблоните опишуваат намера, а интересната вредност е онаа за која двете страни се договориле при последното ракување. На крајна точка IPsec излезот за состојба обично го печати избраниот предлог, вклучително MODP групата.

Запишете ја таа линија пред и по промена на политиката, и двете чувајте ги во записот за промената. Споредбата е доказот.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Ако по промената состојбата сѐ уште ја покажува старата група, врската не преговарала повторно и уредувањето на конфигурацијата не докажало ништо. Рестартирајте го партнерот или избришете ја безбедносната асоцијација, потоа повторно прочитајте ја состојбата. Политика применета само на нови врски ќе ги остави долговечните тунели на старите параметри сѐ додека стојат.

Проверете ја групата и идентитетот на партнерот одделно

Одделете што штити групата од тоа кој е на другиот крај. Запишете го методот на размена на клучеви, големината на групата и методот на автентикација како три полиња, бидејќи тие откажуваат независно. Тунел што договорил 3072-битна група, но прифаќа каков било сертификат, не е истиот ризик како тунел што закачува партнер и користи 2048-битна група.

Запишете ги критериумите за прифаќање пред да започне прегледот, за резултатот да биде споредба, а не мислење. Минимална големина на групата за секоја верзија на протоколот, список за дозвола на именувани групи и задолжителна проверка на партнерот се доволни за да се направи одлуката механичка. Токму двосмисленоста во тој список го претвора прегледот во расправа, а расправите не се исправаат. Тогаш излезот е список на крајни точки што прекршуваат објавено правило.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Затворете го циклусот со повторно читање на договорените вредности по исправката. Усогласена конфигурациска датотека не е доказ дека тунелот ја прифатил. Излезот за состојбата и едно свежо ракување се доказот, и нивното собирање трае помалку време од состанокот за тоа дали се потребни.