Framoverløyndom for ein VPN: kva ein stolen nøkkel kan opne

Spel inn ein kryptert tunnel i dag, stel den langsiktige private nøkkelen til tenaren neste år, og prøv å dekryptere opptaket. Framoverløyndom er eigenskapen som seier at den stolne nøkkelen ikkje vil vere nok åleine. Det er ei utsegn om innspelte økter og bestemte løyndomar, ikkje eit generelt løfte om at tunnelen var trygg. Å få omfanget rett er det som gjer omgrepet nyttig.

Spørsmålet handlar om eit opptak, ikkje den levande økta

Den langsiktige nøkkelen identifiserer endepunktet og signerer handtrykket. Øktnøklar krypterer den faktiske trafikken, og i eit framoverløyndomsdesign blir dei leidde ut frå ferskt nøkkelutvekslingsmateriale som begge sider lagar og seinare kastar. Ein åtakar som berre har den langsiktige nøkkelen, kan ikkje byggje opp att desse kasta verdiane. Ein åtakar med levande økttilstand kan framleis, og difor gjeld garantien fortida og ikkje notida.

Påstanden er vilkårleg: han gjeld berre om dei efemære løyndomane verkeleg vart øydelagde og protokollen er den du trur han er. Ein blanda utrulling kan oppfylle han på ein tunnel og feile på ein annan.

Éin løyndom må ikkje byggje opp att dei andre

Kontroller den forhandla modusen framfor marknadsføringssida. Utdata frå handtrykket nemner nøkkelutvekslinga og protokollversjonen.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

s_client-samandraget viser TLS-versjonen og nøkkelutvekslingsgruppa, og ei efemær gruppe er det synlege teiknet på ein framoverløyndoms-nøkkelavtale. swanctl-lista viser IKE- og CHILD-assosiasjonar med nøkkelfornyings-timarane sine, slik at du kan sjå om utrullinga fornyar nøklar etter ein plan. Ei statisk RSA-nøkkelutveksling, eller ein gammal kompatibilitetsmodus, mistar eigenskapen uansett namn på sifferet. Noter modusen du observerte, ikkje den leverandøren annonserte.

Nøkkelfornying er ikkje automatisk framoverløyndom

Kor ofte ein tunnel fornyar nøklar, er eit separat spørsmål frå korleis kvar nøkkel blir leidd ut. Eit design som gjenopprettar nøklar frå ein langsiktig løyndom, kan fornye kvart minutt og framleis stryke på testen, fordi ein seinare kompromittering byggjer opp att alle saman. Omvendt kan ein protokoll med sjeldan fornying framleis vere framoverløyndom når kvar utveksling er sjølvstendig. Les utleiinga, ikkje intervallet, og ikkje bland ein kort attkoplingstimer med ein kryptografisk garanti.

Den same forvirringa dukkar opp med siffernamn: eit moderne siffer seier ingenting om korleis nøkkelen kom fram.

Kva som blir synleg etter garantien

Framoverløyndom vernar klarteksten i innspelte økter mot ein framtidig nøkkelkompromittering, og ho gjer ingenting mot ein åtakar som les levande trafikk på eit kompromittert endepunkt. Ho fjernar ikkje måladresser, timing eller volum frå opptaket, og ho avgrensar ikkje kor lenge ein operatør oppbevarer tilkoplingsloggar. Ho gjer heller ikkje ein kompromittert klient påliteleg, fordi åtakaren sit allereie der innhaldet finst i klartekst.

Når ein leverandør hevdar framoverløyndom, spør kva langsiktig løyndom som blir rekna som stolen og kva øktløyndomar som blir utilgjengelege. Viss desse to spørsmåla har klare svar, tyder påstanden noko.