DES наспрам 3DES у VPN-у: зашто су оба погрешно унапређење

Оба шифрара су застарела и ниједан није прави циљ за нови саобраћај. Корисно поређење није DES наспрам 3DES; то је повучен алгоритам наспрам одржаваног. Ако гејтвеј још нуди један од њих, задатак је открити шта га захтева и уклонити тај захтев, а не изабрати јачи од два ћорсокака.

Поређење које људи још траже је погрешно

Одговори написани у 2000-има пореде DES са троструким DES-ом и закључују да је троструки DES јачи. Тада је то било разумно, а сада је бескорисно, јер су оба повучена за заштиту новог саобраћаја и избор између њих је избор између два ћорсокака.

NIST је повукао стандард DES 2005. године, а његова препорука TDEA повучена је у јануару 2024. након што је крајем 2023. истекао рок за примену TDEA на нову криптографску заштиту. Ти датуми описују прелаз, не рангирање. Кратка сесија или порука мале вредности не отварају питање поново, јер статус алгоритма не зависи од тога колико се дуго користи кључ.

Обнављање кључа је посебна контрола и не враћа одобрење.

Одвојите преговарање од путање података

VPN протоколи преговарају заштиту на више од једног места. Контролни канал може користити један скуп док пренети подаци користе други, а листа предлога говори само шта је партнер спреман да прихвати. Читајте преговарани резултат, не понуду. Та разлика објашњава честу забуну: гејтвеј још наводи стари алгоритам и оператер претпоставља да се користи, док се он може нудити и никада не изабрати, или изабрати само за једног старог партнера.

На IPsec гејтвеју релевантни излаз је безбедносна асоцијација; на OpenVPN то су шифрар и TLS подешавања у дневнику везе. Оба говоре шта је изабрано. Ниједно се не доказује старом опцијом која још постоји у конфигурационој датотеци.

Ако не видите преговарани резултат, не можете тврдити да је шифрар повучен.

Пронађите компоненту која га још тражи

Захтеви за наследне системе долазе са три места: стари клијент који не нуди ништа боље, политика гејтвеја која још наводи алгоритам и уређај који говори само стари протокол. Свако има другачије решење. Питајте власника ограничења које је, пре него што омогућите добављача компатибилности, јер његово омогућавање утиче на сваког партнера који се повезује.

За један уређај који се још не може заменити, ставите одржавани гејтвеј испред њега и ограничите шта та граница преноси. То задржава стари шифрар без тога да га сваки удаљени корисник наследи.

Задржавање није закрпа и не чини стари хост поузданим.

Пређите са проверама које већ имате

Миграција је завршена када се предвиђени партнери повежу са одржаваним профилом, преговарани скуп је онај који сте очекивали и апликација ради. Проверу идентитета сервера и провере налога држите на месту све време; промена шифрара није разлог да их олабавите.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Забележите верзије клијента и гејтвеја поред преговараног резултата, тако да следећи преглед може да каже шта се заиста променило.

Повуците старо одобрење преко његовог власника, затим потврдите да се партнер који нуди само повучени алгоритам сада одбија. Миграција која оставља стару опцију омогућену је миграција која се није догодила. Чувајте доказ о одбијању уз запис о промени, јер ће следећа ревизија питати како то знате, а уклоњена конфигурацијска линија је слабији доказ од забележеног одбијања. Додајте датум теста и идентитет партнера у тај запис док је сесија још свежа.

Историјски подаци су други проблем

Читање архиве заштићене пре годинама може законито захтевати стари алгоритам. То је дешифровање постојећег материјала и није исти задатак као заштита новог саобраћаја.

Држите такав рад на изолованом хосту са документованом сврхом и кратком листом оних који га могу извршавати.

Та разлика је важна јер је то једини частан разлог да повучени шифрар остане доступан. Она оправдава ограничен алат, никада сталну линију у јавном VPN профилу.