Għaliex numru akbar ta' ċavetta ma jagħmilx VPN aktar sigur

Ir-reklam jgħid 256 bit, il-prodott l-ieħor jgħid 128 bit, u l-konklużjoni tidher ovvja sakemm tinduna li n-numri jiddeskrivu affarijiet differenti. Ċavetta ta' ċifrar simmetrika, ċavetta pubblika ta' ċertifikat u parametru ta' skambju taċ-ċwievet ma jitkejlux fuq skala waħda. Xejn minnhom ma jkopri jekk il-klijent ivverifikax is-server xejn. In-numru huwa informazzjoni vera, u huwa ħafna idjaq milli jissuġġerixxi l-marketing madwaru.

Staqsi liema ċavetta qed tingħadd u x'jipproteġi qabel ma tqabbel xejn.

Tliet ċwievet bi tliet xogħlijiet

Iċ-ċifrar tad-data jċifra l-merkanzija tat-tunnel, u ċ-ċavetta tiegħu tiġi derivata mill-ġdid għas-sessjoni. Iċ-ċavetta pubblika taċ-ċertifikat tipprova l-identità ta' punt tat-tarf waqt l-awtentikazzjoni. Il-pass ta' skambju taċ-ċwievet, normalment varjant efemeral ta' Diffie-Hellman, jistabbilixxi sigriet komuni li wara ebda naħa ma tista' terġa' tibnih. Kull wieħed għandu l-assunzjonijiet tiegħu dwar is-saħħa u l-konvenzjonijiet tiegħu dwar id-daqs.

Għalhekk 256 ħdejn 2048 ħdejn 32 ma jistgħux jiġu ordnati skont id-daqs; huma tweġibiet għal mistoqsijiet differenti.

Anki f'rwol wieħed, in-numru jgħid xi ħaġa biss fir-rigward tal-familja ta' algoritmi li tintuża.

Fejn in-numru jgħin, u fejn jieqaf

Ġewwa algoritmu wieħed, ċavetta akbar tgħolli l-ispiża ta' tfittxija b'saħħa mhux raffinata, u l-linji gwida ppubblikati jistabbilixxu minimi għaċ-ċwievet taċ-ċertifikati hekk kif tinbidel il-qawwa tal-kompjuter. Din hija paragun leġittimu u dejjaq: AES-128 u AES-256 it-tnejn jifilħu attakk dirett b'marġni wiesa', għalhekk id-differenza rarament tkun il-fattur deċiżiv fil-prattika.

Barra minn dak il-paragun, in-numru ma jbassar xejn dwar żbalji fil-konfigurazzjoni, validazzjoni taċ-ċertifikati jew verżjoni tal-protokoll.

Aqra s-suite kollha nnegozjata

Dak li konnessjoni attwalment tuża huwa suite: mod ta' ċifrar, kostruzzjoni ta' integrità jew ta' ċifrar awtentikat, grupp ta' skambju taċ-ċwievet u metodu ta' awtentikazzjoni. Mod AEAD modern b'handshake xieraq huwa proposta differenti minn mod eqdem imqabbad ma' MAC separat, anki meta d-daqs taċ-ċavetta prinċipali jkun identiku.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Aqra r-riżultat nnegozjat u mhux il-massimu konfigurat. Klijent li joffri suite b'saħħitha xorta jikkonnettja b'mod dgħajjef jekk is-server jagħżel l-għażla l-aktar dgħajfa u l-profil jippermettih. Jekk il-prestazzjoni hija l-ħasda, kejjelha fuq l-apparat u l-passaġġ inkwistjoni, għax id-daqs taċ-ċavetta huwa tbassir fqir tal-veloċità ladarba jidħlu l-aċċelerazzjoni tal-ħardwer u d-daqs tal-pakkett.

Il-partijiet li qatt ma jkejjel numru

Il-manutenzjoni tas-software hija l-ewwel nuqqas. Tunnel mibni fuq librerija li waqfet tirċievi tiswijiet huwa dgħajjef milli jissuġġerixxi d-daqs taċ-ċavetta tiegħu, u l-ebda valur ta' konfigurazzjoni ma jsewwih. L-imġiba tal-operatur hija t-tieni: ir-rekords tal-konnessjonijiet, id-data tal-kont u l-immaniġġjar tal-appoġġ jinsabu għal kollox barra l-kriptografija. Servizz li jżomm aktar milli stennejt ma jsirx aktar sigur b'ċavetta itwal.

Il-verifika tal-pari hija t-tielet u l-aktar waħda b'konsegwenzi. Klijent li jaċċetta kwalunkwe ċertifikat għandu ċifrar qawwi imdawwar madwar pari mhux awtentikat, li huwa agħar minn ċifrar modest b'validazzjoni korretta. Iċċekkja dawn it-tlieta qabel in-numru, u n-numru jieħu l-post xieraq tiegħu.