AES-256 kontra OFB: agħżel kostruzzjoni tal-cipher VPN kompleta

AES-256 u OFB iwieġbu mistoqsijiet differenti, u hawn fejn ir-reviżjonijiet taċ-ċifri jiżbaljaw meta jitqiesu bħala għażliet kompetituri. Wieħed isemmi ċifra tal-blokki b’daqs tal-muftieħ; l-ieħor jiddeskrivi kif ċifra tal-blokki tinbidel fi fluss għal messaġġ itwal. Manwal għall-għażla tal-protezzjoni jrid iħares lejn il-kostruzzjoni kollha, inkluż kif ir-riċevitur jiskopri pakkett mibdul.

Semmi l-erba’ partijiet tal-kostruzzjoni

Kull reviżjoni tinżel għal erba’ mistoqsijiet: liema primittiv u daqs tal-muftieħ, kif jiġu pproċessati l-messaġġi bih, kif ir-riċevitur jirrifjuta tibdil mhux awtorizzat, u kif il-protokoll jamministra l-inputs, il-muftieħ u l-ħajja tagħhom. Lista ta’ ismijiet familjari twieġeb biss l-ewwel waħda. It-tieni u t-tielet huma fejn jgħixu d-differenzi reali, u r-raba’ huwa fejn l-implimentazzjonijiet jinfirdu bil-kwiet. Staqsi f’dik l-ordni u ikteb it-tweġibiet.

OFB jidher fost il-modi tal-kunfidenzjalità fil-pubblikazzjoni NIST dwar il-modi taċ-ċifri tal-blokki, u l-kunfidenzjalità hija kollox li joffri. Protokoll li jgħaqqad mod ta’ kriptaġġ ma’ MAC separat irid jikkomponihom b’mod korrett, u isem ta’ algoritmu ma jippruvax dik il-kompożizzjoni. Għalhekk l-isem tal-mod waħdu ma jistax jiddeċiedi deċiżjoni ta’ implimentazzjoni.

Ir-raba’ mistoqsija hija dik li operatur jista’ verament jivverifika fis-sistema li qed taħdem.

Ippreferi kostruzzjoni awtentikata

Kriptaġġ awtentikat jagħti kunfidenzjalità u integrità flimkien, u l-kostruzzjonijiet AEAD jipproteġu wkoll id-dejta assoċjata minn tibdil mingħajr ma jikkriptawha. Din hija proprjetà tal-protezzjoni tal-pakketti, u m’għandha x’taqsam xejn ma’ jekk persuna daħletx b’suċċess.

Il-Gwida Netgate għall-issettjar kriptografiku tal-OpenVPN tindika għażliet AEAD, fosthom AES-GCM, għall-kanal tad-dejta, u dan huwa t-tip ta’ politika appoġġata li għandha tiġi segwita. Uża l-għażliet li jappoġġaw ir-rilaxx installat u l-klijenti pari, minflok ma tikkopja klassifika storika tal-modi f’implimentazzjoni ġdida. Il-kompatibilità tal-passat, il-backends kriptografiċi u l-appoġġ tal-offload kollha jillimitaw dak li huwa verament disponibbli.

Kostruzzjoni appoġġata tgħeleb kompożizzjoni għaqlija kull darba.

Aqra r-riżultat negozjat, mhux l-offerta

Ċifra li tidher f’lista aċċettata ma tgħid xejn dwar is-sessjoni attwali. Aqra l-protezzjoni negozjata tal-kanal tad-dejta mill-klijent jew mill-gateway, imbagħad qabbilha mal-politika li ridt tinforza. Konfigurazzjoni li għadha telenka għażla tal-passat għal pari antik hija deċiżjoni ta’ kompatibilità, mhux stqarrija dwar is-sessjoni quddiemek.

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

Fuq gateway l-output ekwivalenti hija l-assoċjazzjoni tas-sigurtà jew id-dettalji kriptografiċi tal-konnessjoni, skont il-pjattaforma. Fiż-żewġ każijiet l-offerta u r-riżultat huma fatti differenti. Lista li tinkludi għażla tal-passat għal pari antik ma tfissirx li kull sessjoni tużaha, u s-sessjoni li tużaha hija dak li kellek bżonn tkun taf.

Irreġistra ż-żewġ fatti flimkien, mad-data u l-verżjoni tal-klijent.

Kejjel biss dak li jista’ jitqabbel

Il-fluss jiddependi mill-ħardwer tal-estremitajiet, l-implimentazzjoni, l-aċċelerazzjoni, id-daqsijiet tal-pakketti u l-konfigurazzjoni magħżula. La t-tul tal-muftieħ u lanqas il-kelma OFB ma jgħidulek liema implimentazzjoni tkun aktar mgħaġġla. Għalhekk kejl minn sit ieħor huwa l-iktar ħjiel dwar ħardwer li jippossjedi xi ħadd ieħor. In-numri tiegħek jibdew mill-estremitajiet tiegħek.

Għal tqabbil awtorizzat żomm l-estremitajiet, it-tagħbija tax-xogħol u l-politika meħtieġa kostanti, u rreġistra l-protezzjoni negozjata flimkien mal-verżjonijiet tal-implimentazzjoni. Imbagħad iġġudika r-riżultat skont jekk l-applikazzjoni spiċċatx, kemm tilfet u x’kienu qed jagħmlu l-estremitajiet, minflok ma tiddeduċi l-ispiża tal-kriptaġġ minn test wieħed tal-veloċità. Numru prodott f’kundizzjonijiet oħra huwa storja, mhux kejl.

Jekk pari antik ma jistax jissodisfa l-politika, din hija deċiżjoni ta’ kompatibilità għas-sid tiegħu.

Żomm l-integrità barra min-negozju

L-itfi tal-verifiki tal-integrità jew l-aċċettazzjoni ta’ server mhux verifikat mhijiex ottimizzazzjoni tal-prestazzjoni u mhijiex tiswija tal-kompatibilità. Tibdel il-proprjetà tas-sigurtà li għaliha ntgħażlet il-kostruzzjoni. L-istess japplika għat-tkabbir tal-lista taċ-ċifri aċċettati sakemm jikkonnettja pari antik: il-konnessjoni tirnexxi u l-politika ma tibqax teżisti.

Ikteb il-kostruzzjoni aċċettata u s-sid tagħha fil-manwal, sabiex il-bidla li jmiss tibda b’deċiżjoni u mhux b’preferenza.

Dak li trid huwa politika li ż-żewġ naħat jistgħu jinfurzaw. Li targumenta li isem wieħed huwa l-aktar b’saħħtu hija konversazzjoni oħra, u normalment tintemm mingħajr deċiżjoni.