DES versus 3DES într-o VPN: de ce ambele sunt actualizarea greșită

Ambele cifruri sunt depășite și niciunul nu este ținta corectă pentru traficul nou. Comparația utilă nu este DES împotriva 3DES; este un algoritm retras împotriva unuia întreținut. Dacă un gateway mai oferă unul dintre ele, sarcina este să aflați ce îl cere și să eliminați această cerință, nu să alegeți mai puternicul dintre două fundături.

Comparația pe care oamenii o mai caută este cea greșită

Răspunsurile scrise în anii 2000 compară DES cu DES triplu și concluzionează că DES triplu este mai puternic. Atunci era rezonabil și acum este inutil, pentru că ambele sunt retrase pentru protejarea traficului nou, iar alegerea între ele este o alegere între două fundături.

NIST a retras standardul DES în 2005, iar recomandarea sa TDEA a fost retrasă în ianuarie 2024, după ce termenul pentru aplicarea TDEA la o nouă protecție criptografică a expirat la sfârșitul lui 2023. Acele date descriu o tranziție, nu un clasament. O sesiune scurtă sau un mesaj de valoare mică nu redeschid întrebarea, pentru că statutul algoritmului nu depinde de cât timp este folosită cheia.

Reînnoirea cheii este un control separat și nu restaurează aprobarea.

Separați negocierea de calea datelor

Protocoalele VPN negociază protecția în mai multe locuri. Un canal de control poate folosi o suită, în timp ce datele transportate folosesc alta, iar o listă de propuneri spune doar ce este dispus să accepte un peer. Citiți rezultatul negociat, nu oferta. Această distincție explică o confuzie obișnuită: un gateway mai listează un algoritm vechi și operatorul presupune că este folosit, când poate fi oferit și niciodată selectat, sau selectat doar pentru un peer vechi.

Pe un gateway IPsec, rezultatul relevant este asociația de securitate; pe OpenVPN sunt cifrul și setările TLS din jurnalul conexiunii. Ambele spun ce a fost selectat. Niciunul nu este dovedit de o opțiune veche care încă există într-un fișier de configurare.

Dacă nu vedeți rezultatul negociat, nu puteți afirma că cifrul a fost retras.

Găsiți componenta care încă îl cere

Cerințele vechi vin din trei locuri: un client vechi care nu oferă nimic mai bun, o politică de gateway care încă listează algoritmul și un aparat care vorbește doar protocolul vechi. Fiecare are o soluție diferită. Întrebați proprietarul constrângerii care este înainte de a activa un furnizor de compatibilitate, pentru că activarea lui afectează fiecare peer care se conectează.

Pentru un singur aparat care nu poate fi încă înlocuit, puneți un gateway întreținut în fața lui și limitați ce transportă acea graniță. Asta conține cifrul vechi fără ca fiecare utilizator la distanță să îl moștenească.

Conținerea nu este un plasture și nu face gazda veche de încredere.

Migrați cu verificările pe care le aveți deja

O migrare este terminată când peerii vizați se conectează cu profilul întreținut, suita negociată este cea așteptată și aplicația funcționează. Păstrați verificarea identității serverului și verificările contului tot timpul; o schimbare de cifru nu este un motiv să le relaxați.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Înregistrați versiunile clientului și ale gateway-ului lângă rezultatul negociat, ca următoarea revizuire să poată spune ce s-a schimbat de fapt.

Retrageți permisiunea veche prin proprietarul ei, apoi confirmați că un peer care oferă doar algoritmul retras este acum refuzat. O migrare care lasă opțiunea veche activată este o migrare care nu a avut loc. Păstrați dovada refuzului împreună cu înregistrarea schimbării, pentru că următorul audit va întreba cum știți, iar o linie de configurare ștearsă este o dovadă mai slabă decât un refuz înregistrat. Adăugați data testului și identitatea peerului la acea înregistrare cât timp sesiunea este încă proaspătă.

Datele istorice sunt o problemă diferită

Citirea unei arhive protejate acum ani poate necesita în mod legitim algoritmul vechi. Aceasta este decriptarea materialului existent și nu este aceeași sarcină ca protejarea traficului nou.

Țineți astfel de muncă pe o gazdă izolată, cu un scop documentat și o listă scurtă a celor care o pot rula.

Distincția contează pentru că este singurul motiv onest de a ține disponibil un cifru retras. Justifică un instrument cu scop limitat, niciodată o linie permanentă într-un profil VPN public.