DES proti 3DES v VPN: zakaj sta oba napačna nadgradnja

Obe šifri sta zastareli in nobena ni pravi cilj za nov promet. Koristna primerjava ni DES proti 3DES; to je umaknjen algoritem proti vzdrževanemu. Če prehod še vedno ponuja eno od njiju, je naloga ugotoviti, kaj jo zahteva, in to zahtevo odstraniti, ne pa izbrati močnejše od dveh slepih ulic.

Primerjava, ki jo ljudje še iščejo, je napačna

Odgovori, napisani v 2000-ih, primerjajo DES s trojnim DES in sklepajo, da je trojni DES močnejši. Takrat je bilo to razumno, zdaj pa je neuporabno, ker sta oba umaknjena za zaščito novega prometa in je izbira med njima izbira med dvema slepima ulicama.

NIST je standard DES umaknil leta 2005, njegovo priporočilo TDEA pa je bilo umaknjeno januarja 2024, potem ko je konec leta 2023 potekel rok za uporabo TDEA za novo kriptografsko zaščito. Ti datumi opisujejo prehod, ne razvrstitve. Kratka seja ali sporočilo z majhno vrednostjo ne odpreta vprašanja znova, ker stanje algoritma ni odvisno od tega, kako dolgo se ključ uporablja.

Obnova ključa je ločena kontrola in ne obnovi odobritve.

Ločite pogajanja od podatkovne poti

Protokoli VPN se o zaščiti pogajajo na več kot enem mestu. Krmilni kanal lahko uporablja en nabor, medtem ko prenašani podatki uporabljajo drugega, in seznam predlogov pove le, kaj je partner pripravljen sprejeti. Berite izpogajani rezultat, ne ponudbe. Ta razlika pojasnjuje pogosto zmedo: prehod še vedno navaja star algoritem in operater predpostavi, da se uporablja, medtem ko je lahko ponujen in nikoli izbran ali izbran samo za enega starega partnerja.

Na prehodu IPsec je ustrezen izhod varnostna asociacija; pri OpenVPN sta to šifra in nastavitve TLS v dnevniku povezave. Oba povesta, kaj je bilo izbrano. Nobenega ne dokazuje stara možnost, ki še vedno obstaja v konfiguracijski datoteki.

Če ne vidite izpogajanega rezultata, ne morete trditi, da je bila šifra umaknjena.

Poiščite komponento, ki jo še vedno zahteva

Zahteve za starejše sisteme prihajajo s treh mest: star odjemalec, ki ne ponuja nič boljšega, politika prehoda, ki algoritem še vedno navaja, in naprava, ki govori le stari protokol. Vsaka ima drugačno rešitev. Preden omogočite ponudnika združljivosti, vprašajte lastnika omejitve, katera je, ker omogočanje vpliva na vsakega partnerja, ki se poveže.

Za eno napravo, ki je še ni mogoče zamenjati, postavite pred njo vzdrževan prehod in omejite, kaj ta meja prenaša. To zadrži staro šifro, ne da bi jo vsak oddaljeni uporabnik podedoval.

Zadrževanje ni popravek in starega gostitelja ne naredi zaupanja vrednega.

Selite se s preverjanji, ki jih že imate

Selitev je končana, ko se predvideni partnerji povežejo z vzdrževanim profilom, izpogajani nabor je tisti, ki ste ga pričakovali, in aplikacija deluje. Preverjanje identitete strežnika in preglede računa ohranjajte ves čas; sprememba šifre ni razlog za njihovo popuščanje.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Zapišite različici odjemalca in prehoda ob izpogajani rezultat, da bo naslednji pregled lahko povedal, kaj se je dejansko spremenilo.

Umaknite staro dovoljenje prek njegovega lastnika, nato potrdite, da je partner, ki ponuja samo umaknjeni algoritem, zdaj zavrnjen. Selitev, ki pusti staro možnost omogočeno, je selitev, ki se ni zgodila. Hranite dokaz o zavrnitvi z zapisom o spremembi, ker bo naslednja revizija vprašala, kako to veste, in odstranjena konfiguracijska vrstica je šibkejši dokaz od zabeležene zavrnitve. Dodajte datum preizkusa in identiteto partnerja v ta zapis, dokler je seja še sveža.

Zgodovinski podatki so druga težava

Branje arhiva, zaščitenega pred leti, lahko zakonito zahteva stari algoritem. To je dešifriranje obstoječega gradiva in ni enaka naloga kot zaščita novega prometa.

Takšno delo imejte na izoliranem gostitelju z dokumentiranim namenom in kratkim seznamom, kdo ga sme izvajati.

Razlika je pomembna, ker je to edini pošten razlog, da umaknjena šifra ostane na voljo. Opravičuje omejeno orodje, nikoli stalne vrstice v javnem profilu VPN.