Pinagsasaluhang DH group, bagong lihim: bakit nagiging mas mura ang pag-atake

Ang mga parameter ng grupo ay pampubliko ayon sa disenyo, at ang pagiging pampubliko nito ang dahilan kung bakit madaling balewalain ang mga ito. Sa Diffie-Hellman sa may hanggang field, ang modulus at generator ay pinagsasaluhan, samantalang ang mga pribadong exponent at ang mga resultang sesyon na susi ay hindi. Ang mahal na yugto ng pag-atake ng sala sa field ng bilang ay nakasalalay sa grupo at hindi sa isang pagpapalit, kaya ang isang mahinang grupo na ginagamit sa lahat ng dako ay nagiging pinagsasaluhang pananagutan. Ang tawaging pampubliko ang mga parameter ay tumpak at wala sa pinag-uusapan, dahil ang gastos na muling ginagamit ay ang gastos ng pag-atake sa mismong grupong iyon.

Ang pampublikong kalahati ay hindi ang mahinang kalahati, at doon ang bitag

Sinasabi ng karaniwang kalahating argumento na ang mga parameter ay inilathala sa isang pamantayan, kaya alam na ng umaatake ang mga ito at walang mababago ang pagtatago. Parehong totoo ang dalawang pahayag at wala sa isa ang sumusunod sa isa pa. Ang ipinadadalang default na grupo ay pampubliko, at ang pribadong grupo na ginawa mo noong nakaraang linggo ay nakikita rin ng sinumang nakakumpleto ng pakikipagkamay. Ang pagiging lihim ay hindi kailanman naging kontrol; ang lakas at pagpapatunay ang kontrol.

Ang nagbabago ay kung ilang lugar ang nagbabahagi ng parehong kahinaan. Ang isang organisasyong gumagawa ng sarili nitong 2048-bit na grupo ay nagbabayad ng sarili nitong gastos sa pag-atake, samantalang ang isang default na halaga ng protocol na pinipili ng milyon-milyon ay naghahati ng isang gastos sa kanilang lahat. Sa ganitong diwa ang isang di-karaniwang grupo ay hindi awtomatikong mas mabuti. Ang isang di-karaniwang grupo na masyadong maliit ay isa lamang mas maliit na pinagsasaluhang lihim na may mas kaunting mga matang nakatingin dito.

Ang pagpapatunay ay kasinghalaga ng sukat. Ang isang kapareha na nagpapadala ng modulus na may maliliit na salik, o isa na wala sa hugis na inaasahan ng protocol, ay maaaring magtulo ng impormasyon tungkol sa pribadong exponent kahit mukhang kagalang-galang ang haba sa bit. Ang mga aklatang tumatanggi sa malformed na parameter sa pasukan ay gumagawa ng tunay na trabaho, kaya ang sulat-kamay na pagsusuri ng parameter ay masamang lugar para makatipid ng pagsisikap.

Ano ang tunay na ibinibigay ng paunang kalkulasyon sa umaatake

Ang sala sa field ng bilang ay may yugtong nakasalalay lamang sa prime, at ang output nito ay magagamit muli laban sa bawat pagpapalitang gumagamit ng prime na iyon. Iyon ang buong mekanismo sa likod ng makasaysayang pag-aalala: ang mahal na bahagi ay binabayaran nang isang beses, at bumababa ang marginal na gastos ng bawat susunod na sesyon. Pinoprotektahan pa rin ng bagong exponent ang bawat indibidwal na pagpapalit mula sa passive na tagamasid, hangga't sapat ang laki ng grupo para gawing imposible ang pagsasala. Magkatugma ang dalawang pahayag, at ang karamihan ng mga debate sa paksang ito ay nagmumula sa pagpili ng isa at pagtatapon ng isa.

Ang papel na Logjam ng 2015 ay nagpakita ng pagbaba sa 512-bit na export-grade Diffie-Hellman at tinantiya ang magiging gastos ng pag-atake sa mas malalaking, malawakang muling ginagamit na grupo na may malaking mapagkukunan. Ang demonstrasyon ay konkreto, ang mga tantya ay tantya, at wala sa dalawa ang patunay na ang isang partikular na sesyon ng VPN ay na-decrypt.

Sipiin ang papel para sa mekanismo at para sa naipakasang pagbaba, hindi bilang sukat ng iyong deployment. Ang lumang estadistika tungkol sa kung ilang server ang nagbahagi ng default na grupo ay naglalarawan ng internet ng taong iyon, hindi ng network na maaari mong suriin ngayon. Ang kapaki-pakinabang na dalhin ay ang tanong: nakikipag-usap pa ba ang iyong mga aparato sa isang grupong maliit o mahinang pinatunayan?

Ang istdandardisa ay hindi katulad ng mahina

Tinutukoy ng RFC 7919 ang mga pinangalanang grupo ng may hanggang field upang ang dalawang dulo ay magkasundo sa isang grupo sa pamamagitan ng identifier at maglapat ng pare-parehong patakaran. Ang pagiging istdandardisa ay isang bentahe, dahil inaalis nito ang kalabuan ng negosasyon at hinahayaan ang isang implementasyon na tanggihan ang mga sukat na hindi sinusuportahan. Ang isang pinangalanang grupo ay mahina lamang kapag ang sukat nito ay nasa ilalim ng patakarang sinasabi mong sinusunod mo, hindi dahil lumilitaw ito sa isang dokumento. Ang parehong lohika ay nalalapat sa mga grupo ng elliptic curve, na may ibang istruktura at ibang mga paraan ng pagpalya.

Panatilihing hiwalay ang mga konstruksiyon kapag nag-iisip ka tungkol sa mga ito. Ang konklusyon tungkol sa Diffie-Hellman sa may hanggang field ay walang sinasabi tungkol sa X25519, at ang konklusyon tungkol sa 1024-bit MODP na grupo ay walang sinasabi tungkol sa 3072-bit. Ang patakaran ng lakas ay bawat mekanismo, bawat sukat at bawat bersyon ng protocol, kaya ang pariralang malakas na cryptography ay hindi isang pahayag na masusuri.

Ang pagpapatunay ng pagkakakilanlan ay ang kabilang kalahati, at hindi ito kapalit. Ang malakas na grupo na walang beripikasyon ng kapareha ay nag-iiwan ng umaatake sa gitna, at ang balidong sertipiko ay hindi makakapagligtas ng 768-bit na pagpapalit. Suriin ang mga ito bilang dalawang malayang linya, pagkatapos ay kumpirmahin na parehong talagang pinag-uusapan.

Basahin ang pinag-usapang grupo sa isang tunay na koneksyon

Basahin ang pinag-usapang grupo mula sa aparato at hindi mula sa template ng configuration. Inilalarawan ng mga template ang intensiyon, at ang kawili-wiling halaga ay ang napagkasunduan ng dalawang dulo sa huling pakikipagkamay. Sa isang endpoint ng IPsec ang output ng status ay karaniwang nagpi-print ng napiling proposal, kasama ang MODP group.

Kunin ang linyang iyon bago at pagkatapos ng pagbabago ng patakaran, at itago ang dalawa sa talaan ng pagbabago. Ang paghahambing ang patunay.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Kung pagkatapos ng pagbabago ay ipinapakita pa rin ng status ang lumang grupo, hindi muling nakipag-usap ang koneksyon at walang napatunayan ang pag-edit ng configuration. I-restart ang kapareha o burahin ang security association, pagkatapos ay basahin muli ang status. Ang patakarang ipinapatupad lamang sa mga bagong koneksyon ay mag-iiwan ng matagal na buhay na tunnel sa lumang parameter hangga't nakatayo ang mga ito.

Suriin ang grupo at ang pagkakakilanlan ng kapareha nang hiwalay

Ihiwalay ang ipinoprotektahan ng grupo mula sa kung sino ang nasa kabilang dulo. Itala ang paraan ng pagpapalit ng susi, ang sukat ng grupo at ang paraan ng pagpapatunay bilang tatlong field, dahil pumapalya ang mga ito nang malaya. Ang tunnel na nakipag-usap ng 3072-bit na grupo ngunit tumatanggap ng anumang sertipiko ay hindi ang parehong panganib ng isang nagpi-pin ng kapareha at gumagamit ng 2048-bit na grupo.

Isulat ang mga pamantayan sa pagtanggap bago magsimula ang pagsusuri, upang ang resulta ay paghahambing at hindi opinyon. Ang pinakamababang sukat ng grupo bawat bersyon ng protocol, listahan ng pahintulot ng mga pinangalanang grupo at sapilitang beripikasyon ng kapareha ay sapat upang gawing mekanikal ang desisyon. Ang kalabuan sa listahang iyon ang nagpapalit ng pagsusuri sa debate, at ang mga debate ay hindi naaayos. Pagkatapos ang output ay listahan ng mga endpoint na pumapalya sa isang nakasaad na tuntunin.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Isara ang ikot sa pamamagitan ng muling pagbasa ng pinag-usapang halaga pagkatapos ng pagwawasto. Ang isang sumusunod na configuration file ay hindi patunay na kinuha ito ng isang tunnel. Ang output ng status at isang sariwang pakikipagkamay ang patunay, at ang pagkolekta sa mga ito ay mas mabilis kaysa sa pulong tungkol sa kung kailangan ang mga ito.