VPN дахь DES ба 3DES: хоёулаа яагаад буруу шинэчлэл вэ

Хоёр шифр хоёулаа хуучирсан бөгөөд шинэ трафикт аль нь ч зөв зорилт биш. Ашигтай харьцуулалт нь DES ба 3DES биш; цуцлагдсан алгоритм ба хадгалагдаж буй алгоритмын хооронд юм. Хэрэв гарц аль нэгийг нь санал болгосоор байвал ажил нь юу түүнийг шаардаж байгааг олж, тэр шаардлагыг арилгах бөгөөд хоёр мухардмалаас хүчирхэгийг сонгох биш.

Хүмүүсийн одоо ч хайж байгаа харьцуулалт нь буруу

2000-аад онд бичсэн хариултууд DES-ийг гурав дахин DES-тэй харьцуулж, гурав дахин DES илүү хүчтэй гэж дүгнэдэг. Тэр үед үндэслэлтэй байсан бол одоо утгагүй, учир нь хоёулаа шинэ трафикийг хамгаалахад цуцлагдсан бөгөөд тэдгээрийн хоорондын сонголт нь хоёр мухардмалын хоорондын сонголт юм.

NIST 2005 онд DES стандартыг буцаан авч, түүний TDEA зөвлөмжийг 2024 оны нэгдүгээр сард буцаан авсан бөгөөд TDEA-г шинэ криптограф хамгаалалтад хэрэглэх хугацаа 2023 оны эцэст дууссан. Тэдгээр огноо нь шилжилтийг тодорхойлдог, эрэмбэ биш. Богино сесс эсвэл бага үнэтэй мессеж асуултыг дахин нээхгүй, учир нь алгоритмын байдал нь түлхүүрийг хэр удаан ашиглахаас хамаарахгүй.

Түлхүүр шинэчлэх нь тусдаа хяналт бөгөөд зөвшөөрлийг сэргээхгүй.

Хэлэлцээрийг өгөгдлийн замаас тусгаарла

VPN протоколууд хамгаалалтын талаар нэгээс олон газарт хэлэлцдэг. Хяналтын суваг нэг багцыг ашиглаж байхад дамжуулагдсан өгөгдөл өөр багц ашиглаж болох бөгөөд саналын жагсаалт нь түнш юуг хүлээн авахад бэлэн байгааг л хэлнэ. Саналыг биш, хэлэлцсэн үр дүнг унш. Энэ ялгаа нь түгээмэл төөрөгдлийг тайлбарладаг: гарц хуучин алгоритмыг жагсаасан хэвээр байгаа бөгөөд оператор үүнийг ашиглаж байна гэж таамагладаг ч энэ нь санал болгогдож, хэзээ ч сонгогдохгүй, эсвэл зөвхөн нэг хуучин түншид сонгогдож болно.

IPsec гарц дээр холбогдох гаралт нь аюулгүй байдлын холбоо юм; OpenVPN хувьд энэ нь холболтын лог дахь шифр ба TLS тохиргоо юм. Хоёулаа юу сонгогдсоныг хэлнэ. Конфигурацийн файлд үлдсэн хуучин сонголтоор аль нь ч нотлогдохгүй.

Хэлэлцсэн үр дүнг харж чадахгүй бол шифр цуцлагдсан гэж мэдэгдэх боломжгүй.

Түүнийг одоо ч шаардаж байгаа бүрэлдэхүүнийг ол

Хуучин шаардлагууд гурван газраас ирдэг: илүү сайн зүйл санал болгодоггүй хуучин клиент, алгоритмыг одоо ч жагсаасан гарцын бодлого, зөвхөн хуучин протоколоор ярьдаг төхөөрөмж. Тус бүр өөр шийдэлтэй. Тохиромжтой нийлүүлэгчийг идэвхжүүлэхийн өмнө хязгаарлалтын эзнээс аль нь болохыг асуу, учир нь түүнийг идэвхжүүлэх нь холбогдож буй бүх түншид нөлөөлнө.

Одоохондоо солих боломжгүй ганц төхөөрөмжийн хувьд түүний өмнө хадгалагдаж буй гарц тавьж, тэр хил юу дамжуулахыг хязгаарла. Энэ нь хуучин шифрийг баривчлах бөгөөд алслагдсан хэрэглэгч бүр түүнийг өвлөх шаардлагагүй.

Баривчлал нь засвар биш бөгөөд хуучин хост итгэмжлэгдэх болгохгүй.

Өөрт байгаа шалгалтуудтайгаа шилж

Шилжилт нь зорьсон түншүүд хадгалагдаж буй профайлаар холбогдож, хэлэлцсэн багц нь хүлээсэн багц байж, програмын ажиллаж дуусахад дуусна. Серверийн таних тэмдгийн баталгаажуулалт ба бүртгэлийн шалгалтыг бүх хугацаанд хадгал; шифрийн өөрчлөлт нь тэдгээрийг сулруулах шалтгаан биш.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Клиент ба гарцын хувилбарыг хэлэлцсэн үр дүнгийн хажууд тэмдэглэ, дараагийн хяналт юу үнэхээр өөрчлөгдсөнийг хэлж чадна.

Хуучин зөвшөөрлийг эзнээр нь цуцалж, дараа нь зөвхөн цуцлагдсан алгоритмыг санал болгож буй түнш одоо татгалзагдаж байгааг батал. Хуучин сонголтыг идэвхтэй үлдээсэн шилжилт нь болоогүй шилжилт юм. Татгалзлын нотолгоог өөрчлөлтийн бүртгэлтэй хамт хадгал, учир нь дараагийн аудит хэрхэн мэддэг гэж асуух бөгөөд устгасан конфигурацийн мөр нь бүртгэгдсэн татгалзлаас сул нотолгоо юм. Сесс шинэ байхад нь тэр бүртгэлд туршилтын огноо ба түншийн таних тэмдгийг нэм.

Түүхэн өгөгдөл нь өөр асуудал

Олон жилийн өмнө хамгаалагдсан архивыг уншихад хуучин алгоритм хууль ёсоор шаардлагатай байж болно. Энэ нь одоо байгаа материалыг тайлах бөгөөд шинэ трафикийг хамгаалахтай ижил ажил биш.

Ийм ажлыг тусгаарлагдсан хост дээр баримтжуулсан зорилго, хэн гүйцэтгэж болох богино жагсаалттайгаар хадгал.

Энэ ялгаа чухал, учир нь цуцлагдсан шифрийг боломжтой байлгах цорын ганц шударга шалтгаан энэ юм. Энэ нь хязгаарлагдмал хэрэгслийг зөвтгөдөг, нийтийн VPN профайл дахь байнгын мөрийг хэзээ ч зөвтгөхгүй.