Dopredné utajenie pre VPN: čo môže ukradnutý kľúč odomknúť

Nahrajte dnes šifrovaný tunel, budúci rok ukradnite dlhodobý súkromný kľúč servera a skúste nahrávku dešifrovať. Dopredné utajenie je vlastnosť, ktorá hovorí, že ukradnutý kľúč sám o sebe nebude stačiť. Je to tvrdenie o zaznamenaných reláciách a konkrétnych tajomstvách, nie všeobecný sľub, že tunel bol bezpečný. Správne vymedzenie rozsahu robí tento pojem užitočným.

Otázka je o nahrávke, nie o živej relácii

Dlhodobý kľúč identifikuje koncový bod a podpisuje handshake. Relačné kľúče šifrujú skutočnú prevádzku a v návrhu s dopredným utajením sa odvodzujú z čerstvého materiálu na výmenu kľúčov, ktorý obe strany vygenerujú a neskôr zahodia. Útočník, ktorý má len dlhodobý kľúč, nedokáže tieto zahodené hodnoty zrekonštruovať. Útočník so živým stavom relácie stále dokáže, a preto sa záruka týka minulosti, nie prítomnosti.

Tvrdenie je podmienené: platí len vtedy, ak efemérne tajomstvá boli skutočne zničené a protokol je ten, ktorý si myslíte. Zmiešané nasadenie ho môže splniť na jednom tuneli a zlyhať na inom.

Jedno tajomstvo nesmie znovu zostaviť ostatné

Skontrolujte vyjednaný režim, nie marketingovú stránku. Výstup handshake uvádza výmenu kľúčov a verziu protokolu.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Zhrnutie s_client ukazuje verziu TLS a skupinu na výmenu kľúčov a efemérna skupina je viditeľným znakom dohody o kľúčoch s dopredným utajením. Výpis swanctl ukazuje asociácie IKE a CHILD s ich časovačmi obnovy kľúčov, takže vidíte, či nasadenie obnovuje kľúče podľa plánu. Statická výmena kľúčov RSA alebo starý režim kompatibility stráca túto vlastnosť bez ohľadu na názov šifry. Zapíšte si režim, ktorý ste pozorovali, nie ten, ktorý inzeroval dodávateľ.

Obnova kľúčov nie je automaticky dopredné utajenie

Ako často tunel obnovuje kľúče, je oddelená otázka od toho, ako sa každý kľúč odvodzuje. Návrh, ktorý znovu generuje kľúče z dlhodobého tajomstva, môže obnovovať kľúče každú minútu a napriek tomu zlyhať v teste, pretože neskoršia kompromitácia ich všetky zrekonštruuje. Naopak, protokol so zriedkavou obnovou môže mať stále dopredné utajenie, keď je každá výmena nezávislá. Čítajte odvodenie, nie interval, a nepleťte si krátky časovač opätovného pripojenia s kryptografickou zárukou.

Rovnaký zmätok sa objavuje pri názvoch šifier: moderná šifra nehovorí nič o tom, ako sa jej kľúč dostal.

Čo zostáva viditeľné po záruke

Dopredné utajenie chráni otvorený text zaznamenaných relácií pred budúcou kompromitáciou kľúčov a nerobí nič proti útočníkovi, ktorý číta živú prevádzku na kompromitovanom koncovom bode. Neodstraňuje z nahrávky cieľové adresy, časovanie ani objem a neobmedzuje, ako dlho operátor uchováva záznamy pripojení. Nepremení ani kompromitovaného klienta na dôveryhodného, pretože útočník už sedí tam, kde obsah existuje otvorene.

Keď poskytovateľ tvrdí dopredné utajenie, opýtajte sa, ktoré dlhodobé tajomstvo sa považuje za ukradnuté a ktoré relačné tajomstvá zostávajú nedostupné. Ak na tieto dve otázky existujú jasné odpovede, tvrdenie niečo znamená.