सामायिक DH गट, नवीन रहस्ये: हल्ला स्वस्त का होतो

गटाचे मापदंड रचनेनुसारच सार्वजनिक असतात, आणि हेच सार्वजनिकपण त्यांना दुर्लक्ष करणे सोपे करते. मर्यादित-क्षेत्र Diffie-Hellman मध्ये मॉड्युलस आणि जनरेटर सामायिक असतात, पण खाजगी घातांक आणि त्यातून तयार होणाऱ्या सत्र किल्ल्या सामायिक नसतात. संख्या-क्षेत्र चाळणी हल्ल्याचा महागडा टप्पा एका देवाणघेवाणीवर नाही तर गटावर अवलंबून असतो, म्हणून सर्वत्र वापरला जाणारा एक कमकुवत गट सामायिक जबाबदारी होतो. मापदंडांना सार्वजनिक म्हणणे अचूक आहे आणि मुद्द्याबाहेर आहे, कारण पुनर्वापर होणारा खर्च त्या गटावर हल्ला करण्याचा खर्च आहे.

सार्वजनिक अर्धा हा असुरक्षित अर्धा नाही, आणि तिथेच सापळा आहे

नेहमीचा अर्धा युक्तिवाद असे म्हणतो की मापदंड मानकात प्रकाशित आहेत, त्यामुळे हल्लेखोराला ते आधीच माहीत आहेत आणि ते लपवल्याने काहीही बदलणार नाही. दोन्ही विधाने खरी आहेत आणि एकातून दुसरे निघत नाही. पुरवला जाणारा मूलभूत गट सार्वजनिक आहे, आणि गेल्या आठवड्यात तयार केलेला खाजगी गटही हात मिळवणे पूर्ण करणाऱ्या कोणालाही दिसतो. गुप्तता कधीच नियंत्रण नव्हती; शक्ती आणि पडताळणी हे नियंत्रण आहे.

जे बदलते ते म्हणजे किती ठिकाणे एकच कमकुवतपणा वाटून घेतात. स्वतःचा 2048-बिट गट तयार करणारी संस्था स्वतःचा हल्ला खर्च भरते, तर लाखो निवडलेले प्रोटोकॉल मूलभूत मूल्य एकच खर्च त्यांच्या सर्वांवर विभागून टाकते. त्या अर्थाने असामान्य गट आपोआप चांगला नसतो. खूप लहान असामान्य गट म्हणजे कमी नजर असलेले लहान सामायिक रहस्य.

पडताळणी आकाराइतकीच महत्त्वाची आहे. लहान घटकांचा मॉड्युलस पाठवणारा साथीदार, किंवा प्रोटोकॉल अपेक्षित असलेल्या आकारात नसलेला मॉड्युलस, बिट-लांबी आदरणीय दिसली तरी खाजगी घातांकाबद्दल माहिती गळू शकतो. प्रवेशद्वारावरच विकृत मापदंड नाकारणाऱ्या लायब्रऱ्या खरे काम करतात, म्हणून हाताने लिहिलेले मापदंड विश्लेषण श्रम वाचवण्यासाठी वाईट जागा आहे.

पूर्व-गणना हल्लेखोराला प्रत्यक्षात काय देते

संख्या-क्षेत्र चाळणीला केवळ मूळ संख्येवर अवलंबून असलेला टप्पा असतो, आणि त्याचा निकाल ती मूळ संख्या वापरणाऱ्या प्रत्येक देवाणघेवाणीविरुद्ध पुनर्वापर करता येतो. ऐतिहासिक चिंतेमागील संपूर्ण यंत्रणा हीच आहे: महागडा भाग एकदाच भरला जातो, आणि पुढील प्रत्येक सत्राचा सीमांत खर्च कमी होतो. नवीन घातांक अजूनही प्रत्येक वैयक्तिक देवाणघेवाणीचे निष्क्रिय निरीक्षकापासून संरक्षण करतात, गट चाळणी अशक्य करण्याइतका मोठा असेपर्यंत. दोन्ही विधाने सुसंगत आहेत, आणि या विषयावरील बहुतेक वाद एक निवडून दुसरे सोडल्यामुळे उद्भवतात.

2015 च्या Logjam पत्राने 512-बिट निर्यात-दर्जाच्या Diffie-Hellman मध्ये घट दाखवली आणि मोठ्या, मोठ्या प्रमाणात पुनर्वापर होणाऱ्या गटांवर लक्षणीय साधनांनी हल्ला करण्यास किती खर्च येईल याचा अंदाज लावला. प्रात्यक्षिक ठोस होते, अंदाज अंदाज होते, आणि दोन्हीपैकी कोणतेही विशिष्ट VPN सत्र डिक्रिप्ट झाल्याचा पुरावा नव्हता.

पत्राचा उल्लेख यंत्रणा आणि दाखवलेल्या घटीसाठी करा, तुमच्या तैनातीचे मोजमाप म्हणून नाही. किती सर्व्हरांनी मूलभूत गट वाटून घेतला याची जुनी आकडेवारी त्या वर्षाचे इंटरनेट वर्णन करते, आज तुम्ही तपासू शकता असे नेटवर्क नाही. पुढे नेण्यासारखी उपयुक्त गोष्ट प्रश्न आहे: तुमची उपकरणे अजूनही लहान किंवा कमकुवतपणे पडताळलेल्या गटावर बोलणी करतात का?

प्रमाणित असणे कमकुवत असणे नाही

RFC 7919 नामांकित मर्यादित-क्षेत्र गट परिभाषित करते, जेणेकरून दोन्ही टोके ओळखीद्वारे गटावर सहमत होतील आणि सुसंगत धोरण लागू करतील. प्रमाणित असणे हा फायदा आहे, कारण ते बोलणीतील संदिग्धता दूर करते आणि अंमलबजावणीला असमर्थित आकार नाकारण्याची परवानगी देते. नामांकित गट तेव्हाच कमकुवत असतो जेव्हा त्याचा आकार तुम्ही पाळत असल्याचे म्हणता त्या धोरणाच्या खाली असेल, दस्तऐवजात दिसल्यामुळे नाही. तोच तर्क लंबवृत्तीय वक्र गटांनाही लागू होतो, ज्यांची रचना आणि अपयशाच्या पद्धती वेगळ्या आहेत.

त्यांच्याबद्दल विचार करताना रचना वेगळ्या ठेवा. मर्यादित-क्षेत्र Diffie-Hellman बद्दलचा निष्कर्ष X25519 बद्दल काहीही सांगत नाही, आणि 1024-बिट MODP गटाबद्दलचा निष्कर्ष 3072-बिट गटाबद्दल काहीही सांगत नाही. शक्ती धोरण प्रति यंत्रणा, प्रति आकार आणि प्रति प्रोटोकॉल आवृत्ती आहे, म्हणून मजबूत क्रिप्टोग्राफी हे वाक्य पुनरावलोकनयोग्य विधान नाही.

प्रमाणीकरण हा दुसरा अर्धा आहे, आणि तो पर्याय नाही. साथीदार पडताळणीशिवाय मजबूत गट हल्लेखोराला मध्यभागी ठेवतो, आणि वैध प्रमाणपत्र 768-बिट देवाणघेवाण वाचवू शकत नाही. त्यांचा दोन स्वतंत्र रेषा म्हणून आढावा घ्या, नंतर दोन्ही खरोखर बोलणी केली जातात याची खात्री करा.

वास्तविक कनेक्शनवर बोलणी केलेला गट वाचा

बोलणी केलेला गट कॉन्फिगरेशन टेम्पलेटमधून नाही, उपकरणातून वाचा. टेम्पलेट हेतू वर्णन करतात, आणि मनोरंजक मूल्य ते आहे ज्यावर दोन्ही बाजूंनी शेवटच्या हात मिळवणीत सहमती दर्शवली. IPsec टोकावर स्थिती आउटपुट सामान्यतः निवडलेला प्रस्ताव छापते, MODP गटासह.

धोरण बदलापूर्वी आणि नंतर ती ओळ नोंदवा, आणि दोन्ही बदल नोंदीत ठेवा. तुलनाच पुरावा आहे.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

बदलानंतरही स्थिती जुना गट दाखवत असेल, तर कनेक्शनने पुन्हा बोलणी केली नाही आणि कॉन्फिगरेशन संपादनाने काहीही सिद्ध केले नाही. साथीदार पुन्हा सुरू करा किंवा सुरक्षा संलग्नता पुसा, नंतर स्थिती पुन्हा वाचा. केवळ नवीन कनेक्शनवर लागू होणारे धोरण दीर्घायुषी बोगदे सुरू असताना जुन्या मापदंडांवर ठेवेल.

गट आणि साथीदाराची ओळख वेगवेगळी तपासा

गट कशाचे संरक्षण करतो आणि दुसऱ्या टोकाला कोण आहे हे वेगळे करा. किल्ली-देवाणघेवाण पद्धत, गटाचा आकार आणि प्रमाणीकरण पद्धत तीन क्षेत्रे म्हणून नोंदवा, कारण ती स्वतंत्रपणे अयशस्वी होतात. 3072-बिट गटावर बोलणी करणारा पण कोणतेही प्रमाणपत्र स्वीकारणारा बोगदा, साथीदार पिन करणारा आणि 2048-बिट गट वापरणारा बोगदा यांचा धोका सारखा नाही.

आढावा सुरू होण्यापूर्वी स्वीकृती निकष लिहा, जेणेकरून निकाल मत नाही तर तुलना असेल. प्रति प्रोटोकॉल आवृत्ती किमान गट आकार, नामांकित गटांची परवानगी यादी आणि अनिवार्य साथीदार पडताळणी निर्णय यांत्रिक करण्यासाठी पुरेशी आहेत. त्या यादीतील संदिग्धताच आढाव्याचे वादात रूपांतर करते, आणि वाद सुधारले जात नाहीत. मग आउटपुट घोषित नियम अपयशी ठरणाऱ्या टोकांची यादी असते.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

उपायानंतर बोलणी केलेली मूल्ये पुन्हा वाचून चक्र बंद करा. अनुरूप कॉन्फिगरेशन फाइल म्हणजे बोगद्याने ती स्वीकारली याचा पुरावा नाही. स्थिती आउटपुट आणि एक नवीन हात मिळवणे हा पुरावा आहे, आणि ते गोळा करण्यास ती आवश्यक आहेत का या बैठकीपेक्षा कमी वेळ लागतो.