Usiri wa mbele kwa VPN: kile ufunguo ulioibiwa unaweza kufungua

Rekodi leo handaki iliyosimbwa, iba mwaka ujao ufunguo wa faragha wa muda mrefu wa seva, na jaribu kusimbua rekodi. Usiri wa mbele ni sifa inayosema kwamba ufunguo ulioibiwa hautatosha peke yake. Ni tamko kuhusu vipindi vilivyorekodiwa na siri mahususi, si ahadi ya jumla kwamba handaki lilikuwa salama. Kupanga wigo kwa usahihi ndiko kunakofanya neno hili kuwa na manufaa.

Swali linahusu rekodi, si kipindi kilicho hai

Ufunguo wa muda mrefu hutambua mwisho wa muunganisho na hutia sahihi kwenye kupeana mkono. Funguo za kipindi husimba trafiki halisi, na katika muundo wa usiri wa mbele hutolewa kutoka nyenzo mpya za kubadilishana funguo ambazo pande zote mbili huzalisha na kisha kuzitupa. Mshambuliaji aliye na ufunguo wa muda mrefu peke yake hawezi kuunda upya zile thamani zilizotupwa. Mshambuliaji aliye na hali ya kipindi hai bado anaweza, ndiyo sababu hakikisho linahusu zamani badala ya sasa.

Madai hayo yana masharti: yanashikilia tu ikiwa siri za muda mfupi ziliharibiwa kweli na itifaki ni ile unayofikiri. Usambazaji mchanganyiko unaweza kuikidhi kwenye handaki moja na kushindwa kwenye lingine.

Siri moja haipaswi kuunda upya nyingine

Angalia hali iliyojadiliwa badala ya ukurasa wa masoko. Matokeo ya kupeana mkono yanataja kubadilishana funguo na toleo la itifaki.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Muhtasari wa s_client unaonyesha toleo la TLS na kundi la kubadilishana funguo, na kundi la muda mfupi ni ishara inayoonekana ya makubaliano ya funguo yenye usiri wa mbele. Orodha ya swanctl inaonyesha vyama vya IKE na CHILD pamoja na vipima muda vyao vya kuhuisha funguo, kwa hiyo unaweza kuona ikiwa usambazaji unahuisha funguo kwa ratiba. Kubadilishana funguo kwa RSA tuli, au hali ya zamani ya upatanifu, hupoteza sifa hiyo bila kujali jina la simbo. Andika hali uliyoiona, si ile ambayo muuzaji alitangaza.

Kuhuisha funguo si usiri wa mbele kiotomatiki

Ni mara ngapi handaki huhuisha funguo ni swali tofauti na jinsi kila ufunguo unavyotolewa. Muundo unaozalisha upya funguo kutoka siri ya muda mrefu unaweza kuhuisha kila dakika na bado kushindwa jaribio, kwa sababu uvamizi wa baadaye huunda upya zote. Kinyume chake, itifaki yenye uhuishaji wa nadra inaweza kubaki na usiri wa mbele wakati kila kubadilishana ni huru. Soma uchimbaji, si muda, na usichanganye kipima muda kifupi cha kuunganisha upya na hakikisho la kriptografia.

Mkanganyiko huo unaonekana kwa majina ya simbo: simbo ya kisasa haisemi chochote kuhusu jinsi ufunguo wake ulivyofika.

Kinachobaki kuonekana baada ya hakikisho

Usiri wa mbele hulinda maandishi wazi ya vipindi vilivyorekodiwa dhidi ya uvamizi wa funguo wa baadaye, na haufanyi chochote dhidi ya mshambuliaji anayesoma trafiki hai kwenye mwisho uliovamiwa. Hauondoi kutoka kwenye rekodi anwani za mwisho, muda au kiasi, na hauweki kikomo kwa muda gani mwendeshaji huhifadhi kumbukumbu za muunganisho. Pia haumfanyi mteja aliyevamiwa kuwa wa kuaminika, kwa sababu mshambuliaji tayari amekaa mahali ambapo maudhui yapo waziwazi.

Mtoa huduma anapodai usiri wa mbele, uliza ni siri gani ya muda mrefu inayodhaniwa kuibiwa na ni siri zipi za kipindi zinazobaki hazipatikani. Ikiwa maswali hayo mawili yana majibu mahususi, dai hilo lina maana.