DES kontra 3DES f'VPN: għaliex it-tnejn huma l-aġġornament ħażin

Iż-żewġ ċifrari huma skaduti, u l-ebda wieħed mhu l-mira t-tajba għat-traffiku l-ġdid. Il-paragun utli mhuwiex DES kontra 3DES; huwa algoritmu rtirat kontra wieħed miżmum. Jekk gateway għadu joffri wieħed minnhom, ix-xogħol huwa li ssib x'jeħtieġu u tneħħi dik il-ħtieġa, mhux li tagħżel l-aktar b'saħħtu minn żewġ triqat bla ħruġ.

Il-paragun li n-nies għadhom ifittxu huwa dak ħażin

It-tweġibiet miktuba fl-2000ijiet iqabblu DES ma' DES tripplu u jikkonkludu li DES tripplu huwa aktar b'saħħtu. Dak kien raġonevoli dak iż-żmien u huwa bla użu issa, għax it-tnejn huma rtirati għall-protezzjoni tat-traffiku l-ġdid u l-għażla bejniethom hija għażla bejn żewġ triqat bla ħruġ.

NIST irtira l-istandard DES fl-2005, u r-rakkomandazzjoni TDEA tiegħu ġiet irtirata f'Jannar 2024 wara li l-iskadenza għall-applikazzjoni ta' TDEA għal protezzjoni kriptografika ġdida għaddiet fl-aħħar tal-2023. Dawk id-dati jiddeskrivu transizzjoni, mhux klassifika. Sessjoni qasira jew messaġġ ta' valur baxx ma jerġgħux jiftħu l-kwistjoni, għax l-istatus tal-algoritmu ma jiddependix minn kemm idum jintuża ċ-ċavetta.

It-tiġdid taċ-ċavetta huwa kontroll separat, u ma jġeddidx l-approvazzjoni.

Issepara n-negozjati mill-passaġġ tad-data

Il-protokolli VPN jinnegozjaw il-protezzjoni f'aktar minn post wieħed. Kanal ta' kontroll jista' juża sett waqt li d-data trasportata tuża ieħor, u lista ta' proposti tgħid biss x'inhu lest jaċċetta peer. Aqra r-riżultat innegozjat, mhux l-offerta. Din id-differenza tispjega konfużjoni komuni: gateway għadu jelenka algoritmu antik u l-operatur jassumi li qed jintuża, meta jista' jiġi offrut u qatt ma jintgħażel, jew jintgħażel biss għal peer antik wieħed.

Fuq gateway IPsec l-output rilevanti hija l-assoċjazzjoni tas-sigurtà; fuq OpenVPN huma ċ-ċifrar u s-settings TLS fil-log tal-konnessjoni. It-tnejn jgħidu x'ġie magħżul. L-ebda wieħed mhu ppruvat minn għażla antika li għadha teżisti f'fajl ta' konfigurazzjoni.

Jekk ma tistax tara r-riżultat innegozjat, ma tistax tiddikjara li ċ-ċifrar ġie rtirat.

Sib il-komponent li għadu jitolbu

Ir-rekwiżiti antiki ġejjin minn tliet postijiet: klijent antik li ma joffri xejn aħjar, politika tal-gateway li għadha telenka l-algoritmu, u apparat li jitkellem biss il-protokoll antik. Kull wieħed għandu soluzzjoni differenti. Staqsi lis-sid tal-limitazzjoni liema hija qabel ma tattiva fornitur ta' kompatibilità, għax l-attivazzjoni tiegħu taffettwa kull peer li jikkonnettja.

Għal apparat wieħed li għadu ma jistax jiġi sostitwit, poġġi gateway miżmum quddiemu u illimita x'ġorr dik il-fruntiera. Dan iżomm iċ-ċifrar antik mingħajr ma kull utent remot jiretu.

It-trażżin mhuwiex garża, u ma jagħmilx il-host antik affidabbli.

Migra bil-kontrolli li diġà għandek

Migrazzjoni hija mitmuma meta l-peers maħsuba jikkonnettjaw bil-profil miżmum, is-sett innegozjat huwa dak li stennejt, u l-applikazzjoni taħdem. Żomm il-verifika tal-identità tas-server u l-kontrolli tal-kont matul kollox; bidla fiċ-ċifrar mhijiex raġuni biex tħallihom.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Irreġistra l-verżjonijiet tal-klijent u tal-gateway ħdejn ir-riżultat innegozjat, sabiex ir-reviżjoni li jmiss tkun tista' tgħid x'inbidel tassew.

Irtira l-permess antik permezz tas-sid tiegħu, imbagħad ikkonferma li peer li joffri biss l-algoritmu rtirat issa jiġi miċħud. Migrazzjoni li tħalli l-għażla antika attivata hija migrazzjoni li ma seħħitx. Żomm il-prova tar-rifjut mar-rekord tal-bidla, għax l-awditjar li jmiss jistaqsi kif taf, u linja ta' konfigurazzjoni mneħħija hija prova aktar dgħajfa minn rifjut irreġistrat. Żid id-data tat-test u l-identità tal-peer ma' dak ir-rekord waqt li s-sessjoni għadha friska.

Id-data storika hija problema differenti

Li taqra arkivju protett snin ilu jista' leġittimament jeħtieġ l-algoritmu antik. Dan huwa deċifrar ta' materjal eżistenti, u mhuwiex l-istess xogħol bħall-protezzjoni tat-traffiku l-ġdid.

Żomm xogħol bħal dan fuq host iżolat bi skop dokumentat u lista qasira ta' min jista' jmexxih.

Id-differenza hija importanti għax hija l-unika raġuni onesta biex iċ-ċifrar rtirat jibqa' disponibbli. Hija tiġġustifika għodda b'ambitu limitat, qatt linja permanenti fi profil VPN pubbliku.