Forward secrecy para sa VPN: ano ang kayang buksan ng ninakaw na susi

I-record ngayon ang isang naka-encrypt na tunnel, nakawin sa susunod na taon ang pangmatagalang pribadong susi ng server, at subukang i-decrypt ang recording. Ang forward secrecy ay ang katangiang nagsasabing ang ninakaw na susi ay hindi sasapat nang mag-isa. Ito ay pahayag tungkol sa mga naitalang sesyon at partikular na lihim, hindi isang pangkalahatang pangako na ang tunnel ay ligtas. Ang tamang pagtatakda ng saklaw ang gumagawa sa termino na kapaki-pakinabang.

Ang tanong ay tungkol sa isang recording, hindi sa live na sesyon

Kinikilala ng pangmatagalang susi ang endpoint at pumipirma sa handshake. Ang mga susi ng sesyon ay nag-e-encrypt ng aktwal na trapiko, at sa disenyong may forward secrecy, hinango ang mga ito mula sa sariwang materyal ng palitan ng susi na nililikha ng magkabilang panig at pagkatapos ay itinatapon. Ang umaatake na mayroon lamang pangmatagalang susi ay hindi maaaring buuin muli ang mga itinapong halagang iyon. Ang umaatake na may live na estado ng sesyon ay kaya pa rin, kaya't ang garantiya ay tungkol sa nakaraan at hindi sa kasalukuyan.

May kondisyon ang pahayag: totoo lamang ito kung tunay na nawasak ang mga ephemeral na lihim at ang protocol ay ang iniisip mo. Ang pinagsamang deployment ay maaaring masiyahan ito sa isang tunnel at mabigo sa isa pa.

Hindi dapat buuin muli ng isang lihim ang iba

Suriin ang napagkasunduang mode sa halip na ang pahina ng marketing. Binabanggit ng output ng handshake ang palitan ng susi at ang bersyon ng protocol.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Ipinapakita ng buod ng s_client ang bersyon ng TLS at ang grupo ng palitan ng susi, at ang ephemeral na grupo ay ang nakikitang tanda ng kasunduan sa susi na may forward secrecy. Ipinapakita ng listahan ng swanctl ang mga asosasyong IKE at CHILD kasama ang kanilang mga timer ng pag-renew ng susi, kaya makikita mo kung nagre-renew ang deployment ng mga susi ayon sa iskedyul. Ang static na palitan ng susi na RSA, o lumang mode ng compatibility, ay nawawala ang katangiang ito anuman ang pangalan ng cipher. Itala ang mode na naobserbahan mo, hindi ang inanunsyo ng vendor.

Ang pag-renew ng susi ay hindi awtomatikong forward secrecy

Gaano kadalas nagre-renew ng susi ang isang tunnel ay hiwalay na tanong sa kung paano hinango ang bawat susi. Ang disenyong muling gumagawa ng mga susi mula sa pangmatagalang lihim ay maaaring mag-renew kada minuto at pa rin ay bumagsak sa pagsubok, dahil binubuo muli ng kompromiso mamaya ang lahat ng ito. Sa kabaligtaran, ang protocol na bihirang mag-renew ay maaari pa ring magkaroon ng forward secrecy kapag ang bawat palitan ay independyente. Basahin ang derivation, hindi ang agwat, at huwag ipagkamali ang maikling timer ng muling pagkonekta sa isang cryptographic na garantiya.

Ang parehong kalituhan ay lumilitaw sa mga pangalan ng cipher: ang modernong cipher ay walang sinasabi tungkol sa kung paano dumating ang susi nito.

Ano ang nananatiling nakikita pagkatapos ng garantiya

Pinoprotektahan ng forward secrecy ang plaintext ng mga naitalang sesyon mula sa hinaharap na kompromiso ng susi, at wala itong ginagawa laban sa umaatake na nagbabasa ng live na trapiko sa isang kompromisong endpoint. Hindi nito inaalis sa recording ang mga address ng destinasyon, timing o volume, at hindi nito nililimitahan kung gaano katagal itinatago ng operator ang mga log ng koneksyon. Hindi rin nito ginagawang mapagkakatiwalaan ang isang kompromisong kliyente, dahil nakaupo na ang umaatake kung saan umiiral nang hayagan ang nilalaman.

Kapag sinabi ng isang provider na may forward secrecy, itanong kung aling pangmatagalang lihim ang ipinapalagay na ninakaw at aling mga lihim ng sesyon ang nananatiling hindi available. Kung malinaw ang sagot sa dalawang tanong na iyon, may ibig sabihin ang pahayag.