DES verzus 3DES vo VPN: prečo sú obe nesprávny upgrade

Obe šifry sú zastarané a ani jedna nie je správnym cieľom pre novú prevádzku. Užitočné porovnanie nie je DES proti 3DES; je to vyradený algoritmus proti udržiavanému. Ak brána stále ponúka jednu z nich, úlohou je nájsť, čo ju vyžaduje, a tento požiadavok odstrániť, nie vybrať silnejšiu z dvoch slepých uličiek.

Porovnanie, ktoré ľudia stále hľadajú, je to nesprávne

Odpovede písané v 2000. rokoch porovnávajú DES s trojitým DES a uzatvárajú, že trojitý DES je silnejší. Vtedy to bolo rozumné a dnes je to zbytočné, pretože obe sú vyradené na ochranu novej prevádzky a voľba medzi nimi je voľbou medzi dvomi slepými uličkami.

NIST stiahol štandard DES v roku 2005 a jeho odporúčanie TDEA bolo stiahnuté v januári 2024, keď na konci roka 2023 uplynula lehota na použitie TDEA na novú kryptografickú ochranu. Tie dátumy opisujú prechod, nie rebríček. Krátka relácia alebo správa s nízkou hodnotou otázku znovu neotvára, pretože stav algoritmu nezávisí od toho, ako dlho sa kľúč používa.

Obnova kľúča je samostatná kontrola a schválenie neobnovuje.

Oddeľte vyjednávanie od dátovej cesty

VPN protokoly vyjednávajú ochranu na viac ako jednom mieste. Riadiaci kanál môže používať jednu sadu, zatiaľ čo prenášané údaje inú, a zoznam návrhov hovorí len to, čo je partner ochotný prijať. Čítajte vyjednaný výsledok, nie ponuku. Tento rozdiel vysvetľuje časté zmätky: brána stále uvádza starý algoritmus a operátor predpokladá, že sa používa, hoci môže byť ponúkaný a nikdy vybraný, alebo vybraný len pre jedného starého partnera.

Na IPsec bráne je príslušným výstupom bezpečnostná asociácia; pri OpenVPN sú to šifra a nastavenia TLS v protokole pripojenia. Obe hovoria, čo bolo vybrané. Ani jedno nie je preukázané starou voľbou, ktorá stále existuje v konfiguračnom súbore.

Ak nevidíte vyjednaný výsledok, nemôžete tvrdiť, že šifra bola vyradená.

Nájdite komponent, ktorý ju stále žiada

Požiadavky na staršie systémy prichádzajú z troch miest: starý klient, ktorý neponúka nič lepšie, zásada brány, ktorá algoritmus stále uvádza, a zariadenie, ktoré hovorí len starým protokolom. Každé má inú opravu. Pred zapnutím poskytovateľa kompatibility sa opýtajte vlastníka obmedzenia, ktoré z nich to je, pretože jeho zapnutie ovplyvní každého pripájajúceho sa partnera.

Pre jedno zariadenie, ktoré zatiaľ nemožno nahradiť, postavte pred neho udržiavanú bránu a obmedzte, čo táto hranica prenáša. Tým starú šifru uzatvoríte bez toho, aby ju zdedil každý vzdialený používateľ.

Ohraničenie nie je záplata a starého hostiteľa nerobí dôveryhodným.

Migrujte s kontrolami, ktoré už máte

Migrácia je hotová, keď sa zamýšľaní partneri pripoja s udržiavaným profilom, vyjednaná sada je tá, ktorú ste očakávali, a aplikácia funguje. Overovanie identity servera a kontroly účtov držte po celý čas; zmena šifry nie je dôvod ich zmierňovať.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Zapíšte verzie klienta a brány vedľa vyjednaného výsledku, aby ďalšia revízia poznala, čo sa skutočne zmenilo.

Vyraďte staré povolenie cez jeho vlastníka a potom potvrďte, že partner ponúkajúci len vyradený algoritmus je teraz odmietnutý. Migrácia, ktorá nechá starú voľbu zapnutú, je migrácia, ktorá sa nestala. Uchovajte dôkaz o odmietnutí so záznamom o zmene, pretože ďalší audit sa opýta, ako to viete, a odstránený konfiguračný riadok je slabší dôkaz ako zaznamenané odmietnutie. Pridajte do záznamu dátum testu a identitu partnera, kým je relácia ešte čerstvá.

Historické údaje sú iný problém

Čítanie archívu chráneného pred rokmi môže legitímne vyžadovať starý algoritmus. To je dešifrovanie existujúceho materiálu a nie je to rovnaká úloha ako ochrana novej prevádzky.

Takú prácu držte na izolovanom hostiteľovi s dokumentovaným účelom a krátkym zoznamom, kto ju smie vykonávať.

Rozdiel je dôležitý, pretože je to jediný čestný dôvod držať vyradenú šifru dostupnú. Oprávňuje obmedzený nástroj, nikdy trvalý riadok vo verejnom VPN profile.