Zakaj večje število ključa ne naredi VPN varnejšega

Oglas pravi 256 bitov, drug izdelek pravi 128 bitov, in sklep se zdi očiten, dokler ne opazite, da številke opisujejo različne stvari. Ključ simetrične šifre, javni ključ potrdila in parameter izmenjave ključev se ne merijo z isto lestvico. Noben od njih ne pokriva, ali je odjemalec sploh preveril strežnik. Število je resnična informacija in je veliko ožje, kot nakazuje trženje okoli njega.

Preden kar koli primerjate, vprašajte, kateri ključ se šteje in kaj ščiti.

Trije ključi s tremi nalogami

Šifra podatkov šifrira tovor tunela, njen ključ pa se za sejo izpelje na novo. Javni ključ potrdila dokazuje identiteto končne točke med preverjanjem pristnosti. Korak izmenjave ključev, običajno efemerna različica Diffie-Hellmana, vzpostavi skupno skrivnost, ki je nobena stran pozneje ne more obnoviti. Vsak ima svoje predpostavke o moči in svoje dogovore o velikosti.

Zato 256 ob 2048 ob 32 ni mogoče razvrstiti po velikosti; to so odgovori na različna vprašanja.

Tudi znotraj ene vloge število pove nekaj le glede na uporabljeno družino algoritmov.

Kjer število pomaga in kjer se ustavi

Znotraj enega algoritma večji ključ poveča stroške iskanja z grobo silo, objavljene smernice pa določajo najnižje vrednosti za ključe potrdil, ko se računska moč spreminja. To je legitimna in ozka primerjava: AES-128 in AES-256 se oba upirata neposrednemu napadu z veliko rezervo, zato je razlika v praksi redko odločilna.

Zunaj te primerjave število ne predvideva ničesar o napakah pri konfiguraciji, preverjanju potrdil ali različici protokola.

Preberite celoten dogovorjeni nabor

Kar povezava dejansko uporablja, je nabor: način šifriranja, zgradba celovitosti ali overjenega šifriranja, skupina za izmenjavo ključev in metoda preverjanja pristnosti. Sodoben način AEAD s pravilnim rokovanjem je drugačna ponudba kot starejši način s samostojnim MAC, tudi ko je navedena velikost ključa enaka.

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

Berite dogovorjeni rezultat, ne nastavljenega največjega. Odjemalec, ki ponuja močan nabor, se vseeno poveže šibko, če strežnik izbere šibkejšo možnost in profil to dovoljuje. Če vas skrbi zmogljivost, jo izmerite na zadevni napravi in poti, saj velikost ključa slabo napoveduje prepustnost, ko v igro vstopita strojna pospešitev in velikost paketa.

Deli, ki jih nobeno število ne izmeri

Vzdrževanje programske opreme je prva opustitev. Tunel, zgrajen na knjižnici, ki je prenehala prejemati popravke, je šibkejši, kot nakazuje velikost ključa, in nobena konfiguracijska vrednost tega ne popravi. Vedenje operaterja je drugo: zapisi povezav, podatki računa in obravnava podpore so povsem zunaj kriptografije. Storitev, ki hrani več, kot ste pričakovali, z daljšim ključem ne postane varnejša.

Preverjanje nasprotne strani je tretje in najpomembnejše. Odjemalec, ki sprejme katero koli potrdilo, ima močno šifro ovito okoli neoverjene nasprotne strani, kar je slabše od skromne šifre s pravilnim preverjanjem. Preverite te tri pred številom in število bo zasedlo svoje pravo mesto.