DES kundrejt 3DES në një VPN: pse të dyja janë përmirësimi i gabuar

Të dy shifrimet janë të vjetruara dhe asnjëri nuk është objektivi i duhur për trafikun e ri. Krahasimi i dobishëm nuk është DES kundrejt 3DES; është një algoritëm i tërhequr kundrejt një të mirëmbajtur. Nëse një gateway ofron ende njërin prej tyre, puna është të zbuloni çfarë e kërkon dhe ta hiqni atë kërkesë, jo të zgjidhni më të fortin e dy rrugëve pa krye.

Krahasimi që njerëzit kërkojnë ende është i gabuari

Përgjigjet e shkruara në vitet 2000 krahasojnë DES me DES të trefishtë dhe përfundojnë se DES i trefishtë është më i fortë. Atëherë ishte e arsyeshme dhe tani është e pavlefshme, sepse të dy janë tërhequr për mbrojtjen e trafikut të ri dhe zgjedhja mes tyre është një zgjedhje mes dy rrugëve pa krye.

NIST tërhoqi standardin DES në 2005, dhe rekomandimi i tij TDEA u tërhoq në janar 2024, pasi afati për zbatimin e TDEA në mbrojtje të re kriptografike skadoi në fund të 2023. Këto data përshkruajnë një tranzicion, jo një renditje. Një sesion i shkurtër ose një mesazh me vlerë të ulët nuk e rihapin çështjen, sepse statusi i algoritmit nuk varet nga sa kohë përdoret çelësi.

Rinovimi i çelësit është një kontroll i veçantë, dhe ai nuk e rikthen miratimin.

Ndani negocimin nga rruga e të dhënave

Protokollet VPN negociojnë mbrojtjen në më shumë se një vend. Një kanal kontrolli mund të përdorë një grup ndërsa të dhënat e transportuara përdorin një tjetër, dhe një listë propozimesh tregon vetëm çfarë është i gatshëm të pranojë një partner. Lexoni rezultatin e negociuar, jo ofertën. Ky dallim shpjegon një ngatërresë të zakonshme: një gateway rendit ende një algoritëm të vjetër dhe operatori supozon se është në përdorim, ndërsa ai mund të ofrohet dhe të mos zgjidhet kurrë, ose të zgjidhet vetëm për një partner të vjetër.

Në një gateway IPsec rezultati përkatës është shoqata e sigurisë; në OpenVPN janë shifrimi dhe cilësimet TLS në regjistrin e lidhjes. Të dy tregojnë çfarë u zgjodh. Asnjëri nuk vërtetohet nga një opsion i vjetër që ekziston ende në një skedar konfigurimi.

Nëse nuk mund ta shihni rezultatin e negociuar, nuk mund të pretendoni se shifrimi u tërhoq.

Gjeni komponentin që ende e kërkon

Kërkesat e vjetra vijnë nga tre vende: një klient i vjetër që nuk ofron asgjë më të mirë, një politikë gateway që rendit ende algoritmin, dhe një pajisje që flet vetëm protokollin e vjetër. Secili ka një zgjidhje të ndryshme. Pyetni pronarin e kufizimit se cili është, përpara se të aktivizoni një ofrues përputhshmërie, sepse aktivizimi i tij ndikon në çdo partner që lidhet.

Për një pajisje të vetme që nuk mund të zëvendësohet ende, vendosni një gateway të mirëmbajtur përpara saj dhe kufizoni çfarë transporton ajo kufi. Kjo e mban shifrimin e vjetër pa bërë që çdo përdorues në distancë ta trashëgojë atë.

Mbajtja nuk është një patch dhe nuk e bën hostin e vjetër të besueshëm.

Migroni me kontrollet që tashmë i keni

Një migrim përfundon kur partnerët e synuar lidhen me profilin e mirëmbajtur, grupi i negociuar është ai që prisnit, dhe aplikacioni funksionon. Mbani verifikimin e identitetit të serverit dhe kontrollet e llogarisë gjatë gjithë kohës; një ndryshim shifrimi nuk është arsye për t'i relaksuar ato.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Regjistroni versionet e klientit dhe të gateway-it pranë rezultatit të negociuar, në mënyrë që rishikimi tjetër të mund të thotë çfarë ndryshoi në të vërtetë.

Tërhiqni lejen e vjetër përmes pronarit të saj, pastaj konfirmoni se një partner që ofron vetëm algoritmin e tërhequr tani refuzohet. Një migrim që lë opsionin e vjetër të aktivizuar është një migrim që nuk ndodhi. Ruani provën e refuzimit me regjistrin e ndryshimit, sepse auditimi tjetër do të pyesë se si e dini, dhe një rresht konfigurimi i hequr është provë më e dobët se një refuzim i regjistruar. Shtoni datën e testit dhe identitetin e partnerit në atë regjistër ndërsa sesioni është ende i freskët.

Të dhënat historike janë një problem tjetër

Leximi i një arkivi të mbrojtur vite më parë mund të kërkojë në mënyrë legjitime algoritmin e vjetër. Ky është dekriptim i materialit ekzistues, dhe nuk është i njëjti detyrë si mbrojtja e trafikut të ri.

Mbani punë të tillë në një host të izoluar me një qëllim të dokumentuar dhe një listë të shkurtër të atyre që mund ta ekzekutojnë.

Dallimi ka rëndësi sepse është arsyeja e vetme e ndershme për të mbajtur të disponueshëm një shifrim të tërhequr. Ai justifikon një mjet me shtrirje të kufizuar, kurrë një rresht të përhershëm në një profil VPN publik.