O número de bits num ficheiro de chave estática não é a força da cifra OpenVPN

Um scanner ou um colega aponta o número de bits impresso dentro de um ficheiro de chave estática OpenVPN e pergunta porque é que o túnel não usa uma cifra desse tamanho. A pergunta parece razoável, e a resposta não é um número: o cabeçalho conta o material de chave armazenado, enquanto uma cifra consome apenas a parte que o tamanho da sua chave exige. Tratar esse total como uma definição de força leva a alterações que não mudam nada. O formato foi construído para conter mais material do que qualquer algoritmo individual utiliza.

Aqui misturam-se duas perguntas: quanto material de chave o ficheiro armazena, e quão forte é a cifra negociada. Só a segunda descreve o túnel.

O que o número no cabeçalho conta realmente

O contentor serializa o material de cifra e o material HMAC como estruturas separadas, e a forma bidirecional contém dois desses conjuntos para que cada direção possa transportar as suas próprias chaves. O código de escrita deriva o número impresso do número de estruturas serializadas, do seu tamanho e de oito bits por byte. Isto é aritmética sobre o armazenamento, não a afirmação de que uma cifra consome todos os bytes guardados. O cabeçalho também fixa uma atribuição máxima de material de cifra, para que uma alteração de biblioteca não possa redimensionar o formato em silêncio.

Compare com uma chave de certificado, onde o número de bits descreve mesmo o tamanho de um objeto. Uma chave RSA de 4,096 bits e um ficheiro de chave cujo cabeçalho indica 4,096 bits são artefactos diferentes com tarefas diferentes, e alinhá-los como duas definições de um só botão produz conclusões erradas.

Dois conjuntos de chaves num só ficheiro

Cada metade do ficheiro fornece material de cifragem e de autenticação porque o modo de chave pré-partilhada protege os pacotes nos dois sentidos com essas peças separadas. A cifra ativa usa apenas os bytes exigidos pelo tamanho da sua chave, e o resumo usa o seu próprio tamanho de saída, por isso a força utilizável vem das opções e não do comprimento do ficheiro. Alongar o bloco hexadecimal não pede ao algoritmo configurado que consuma mais dele. Editar o comentário com um número maior muda ainda menos.

Se quer realmente uma chave mais longa, a definição a alterar é a cifra ou o resumo, e o gerador produz o que os algoritmos escolhidos necessitarem.

Ler o perfil diz-lhe que modo tem

O mesmo formato de ficheiro serve duas tarefas bastante diferentes, e só o perfil diz qual tem. Uma linha herdada secret torna o ficheiro o único material de chave do túnel, enquanto tls-auth ou tls-crypt o torna proteção do canal de controlo a par dos certificados. Nenhum dos usos o transforma na chave privada do certificado de um cliente, por muito parecido que o bloco seja. Identifique a opção e a versão antes de gerar um substituto, e use o gerador documentado em vez de acrescentar caracteres.

Essa distinção também decide a resposta a uma exposição. Uma chave tls-auth que fica exposta não revela as chaves de sessão, mas permite a um atacante injetar tráfego do canal de controlo, por isso continua a ter de ser substituída. Uma chave secret exposta é pior, porque era o material que protegia os próprios dados.

O que uma revisão de segurança deve registar

Registe três coisas em separado: a proteção negociada do canal de dados, a proteção do canal de controlo e a forma como os pares se autenticam. Uma linha como data-ciphers AES-256-GCM descreve apenas a primeira, e um relatório que pare aí não consegue responder se o canal de controlo está protegido. O ficheiro de chave estática pertence à segunda categoria quando é usado com tls-auth ou tls-crypt, e a nenhuma quando não é usado. Os revisores que confundem as categorias pedem um ficheiro de chave maior quando o que querem é uma cifra mais forte.

Se o ficheiro foi exposto, rode-o e redistribua-o pelo canal aprovado. Acrescentar caracteres a um segredo comprometido não é rotação, e deixa o material exposto válido.

Guarde o registo de rotação com o perfil a que pertence. A próxima revisão vai perguntar que chave protegeu que período, e o cabeçalho não responderá a isso.