Kerahsiaan ke hadapan untuk VPN: apa yang boleh dibuka oleh kunci yang dicuri

Rakam terowong tersulit hari ini, curi kunci peribadi jangka panjang pelayan tahun depan, dan cuba nyahsulit rakaman itu. Kerahsiaan ke hadapan ialah sifat yang menyatakan kunci yang dicuri tidak akan cukup sendirian. Ini ialah kenyataan tentang sesi yang dirakam dan rahsia tertentu, bukan janji umum bahawa terowong itu selamat. Menetapkan skop dengan tepat itulah yang menjadikan istilah ini berguna.

Soalannya tentang rakaman, bukan sesi hidup

Kunci jangka panjang mengenal pasti titik akhir dan menandatangani jabat tangan. Kunci sesi menyulitkan trafik sebenar, dan dalam reka bentuk kerahsiaan ke hadapan ia diterbitkan daripada bahan pertukaran kunci segar yang dijana kedua-dua pihak dan kemudian dibuang. Penyerang yang hanya memegang kunci jangka panjang tidak boleh membina semula nilai yang dibuang itu. Penyerang yang memegang keadaan sesi hidup masih boleh, sebab itulah jaminannya tentang masa lalu, bukan masa kini.

Dakwaannya bersyarat: ia hanya berlaku jika rahsia sementara benar-benar dimusnahkan dan protokolnya ialah yang anda fikirkan. Penggunaan bercampur boleh memenuhinya pada satu terowong dan gagal pada yang lain.

Satu rahsia tidak boleh membina semula yang lain

Periksa mod yang dirundingkan dan bukan halaman pemasaran. Output jabat tangan menamakan pertukaran kunci dan versi protokol.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Ringkasan s_client menunjukkan versi TLS dan kumpulan pertukaran kunci, dan kumpulan sementara ialah tanda kelihatan bagi persetujuan kunci berkerahsiaan ke hadapan. Senarai swanctl menunjukkan persatuan IKE dan CHILD bersama pemasa pembaharuan kuncinya, jadi anda boleh lihat sama ada penggunaan memperbaharui kunci mengikut jadual. Pertukaran kunci RSA statik, atau mod keserasian lama, kehilangan sifat itu tanpa mengira nama sifer. Catat mod yang anda perhatikan, bukan yang diiklankan vendor.

Pembaharuan kunci bukan secara automatik kerahsiaan ke hadapan

Betapa kerap terowong memperbaharui kunci ialah soalan berasingan daripada bagaimana setiap kunci diterbitkan. Reka bentuk yang menjana semula kunci daripada rahsia jangka panjang boleh memperbaharui setiap minit dan masih gagal ujian, kerana kompromi kemudian membina semula kesemuanya. Sebaliknya, protokol dengan pembaharuan jarang masih boleh berkerahsiaan ke hadapan apabila setiap pertukaran bebas. Baca terbitan, bukan selang, dan jangan keliru pemasa sambung semula yang pendek dengan jaminan kriptografi.

Kekeliruan yang sama muncul dengan nama sifer: sifer moden tidak berkata apa-apa tentang bagaimana kuncinya tiba.

Apa yang kekal kelihatan selepas jaminan

Kerahsiaan ke hadapan melindungi teks biasa sesi yang dirakam daripada kompromi kunci masa depan, dan ia tidak melakukan apa-apa terhadap penyerang yang membaca trafik hidup pada titik akhir yang terjejas. Ia tidak membuang alamat destinasi, masa atau isipadu daripada rakaman, dan ia tidak mengehadkan berapa lama pengendali menyimpan log sambungan. Ia juga tidak menjadikan klien yang terjejas boleh dipercayai, kerana penyerang sudah duduk di tempat kandungan wujud secara terbuka.

Apabila penyedia mendakwa kerahsiaan ke hadapan, tanya rahsia jangka panjang mana yang dianggap dicuri dan rahsia sesi mana yang kekal tidak tersedia. Jika kedua-dua soalan itu mempunyai jawapan yang jelas, dakwaan itu bermakna sesuatu.