VPN'de DES ve 3DES: ikisi de neden yanlış yükseltme

Her iki şifreleme de eskimiştir ve hiçbiri yeni trafik için doğru hedef değildir. Yararlı karşılaştırma DES ile 3DES değil; kullanımdan kaldırılmış bir algoritma ile bakımı yapılan bir algoritma arasındadır. Bir ağ geçidi hâlâ bunlardan birini sunuyorsa iş, neyin onu gerektirdiğini bulmak ve bu gereksinimi kaldırmaktır; iki çıkmazdan güçlü olanı seçmek değil.

İnsanların hâlâ aradığı karşılaştırma yanlış olan

2000'lerde yazılan yanıtlar DES'i üçlü DES ile karşılaştırır ve üçlü DES'in daha güçlü olduğu sonucuna varır. O zaman makuldü ve şimdi yararsızdır, çünkü ikisi de yeni trafiği korumak için kullanımdan kaldırılmıştır ve aralarındaki seçim iki çıkmaz arasındaki seçimdir.

NIST, DES standardını 2005'te geri çekti ve TDEA önerisi, TDEA'nın yeni kriptografik korumaya uygulanması için son tarih 2023 sonunda geçtikten sonra Ocak 2024'te geri çekildi. Bu tarihler bir geçişi anlatır, sıralamayı değil. Kısa bir oturum veya düşük değerli bir ileti soruyu yeniden açmaz, çünkü algoritmanın durumu anahtarın ne kadar süre kullanıldığına bağlı değildir.

Anahtar yenileme ayrı bir kontroldür ve onayı geri getirmez.

Müzakereyi veri yolundan ayırın

VPN protokolleri korumayı birden fazla yerde müzakere eder. Bir denetim kanalı bir paket kullanırken taşınan veriler başka bir paket kullanabilir ve bir teklif listesi yalnızca bir eşin kabul etmeye istekli olduğunu söyler. Teklifi değil, müzakere edilen sonucu okuyun. Bu ayrım yaygın bir karışıklığı açıklar: bir ağ geçidi hâlâ eski bir algoritmayı listeler ve operatör onun kullanıldığını varsayar, oysa teklif edilip hiç seçilmemiş ya da yalnızca eski bir eş için seçilmiş olabilir.

Bir IPsec ağ geçidinde ilgili çıktı güvenlik ilişkisidir; OpenVPN tarafında ise bağlantı günlüğündeki şifreleme ve TLS ayarlarıdır. İkisi de neyin seçildiğini söyler. Hiçbiri bir yapılandırma dosyasında hâlâ duran eski bir seçenekle kanıtlanmaz.

Müzakere edilen sonucu göremiyorsanız şifrelemenin kullanımdan kaldırıldığını iddia edemezsiniz.

Onu hâlâ isteyen bileşeni bulun

Eski gereksinimler üç yerden gelir: daha iyisini sunmayan eski bir istemci, algoritmayı hâlâ listeleyen bir ağ geçidi ilkesi ve yalnızca eski protokolü konuşan bir cihaz. Her birinin çözümü farklıdır. Bir uyumluluk sağlayıcısını etkinleştirmeden önce kısıtlamanın sahibine hangisi olduğunu sorun, çünkü etkinleştirmek bağlanan her eşi etkiler.

Henüz değiştirilemeyen tek bir cihaz için önüne bakımı yapılan bir ağ geçidi koyun ve o sınırın ne taşıdığını sınırlayın. Bu, eski şifrelemeyi barındırır ama her uzak kullanıcının onu miras almasına yol açmaz.

Barındırma bir yama değildir ve eski ana makineyi güvenilir kılmaz.

Zaten sahip olduğunuz denetimlerle geçin

Geçiş, amaçlanan eşler bakımı yapılan profille bağlandığında, müzakere edilen paket beklediğiniz paket olduğunda ve uygulama çalıştığında tamamlanır. Sunucu kimliği doğrulamasını ve hesap denetimlerini baştan sona koruyun; şifreleme değişikliği bunları gevşetmek için bir neden değildir.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

İstemci ve ağ geçidi sürümlerini müzakere edilen sonucun yanına kaydedin, böylece bir sonraki inceleme gerçekte neyin değiştiğini söyleyebilir.

Eski izni sahibi aracılığıyla kaldırın, ardından yalnızca kullanımdan kaldırılmış algoritmayı sunan bir eşin artık reddedildiğini doğrulayın. Eski seçeneği etkin bırakan bir geçiş, gerçekleşmemiş bir geçiştir. Ret kanıtını değişiklik kaydıyla birlikte saklayın, çünkü bir sonraki denetim nasıl bildiğinizi soracak ve kaldırılmış bir yapılandırma satırı, günlüğe alınmış bir redden daha zayıf bir kanıttır. Oturum hâlâ tazeyken test tarihini ve eşin kimliğini o kayda ekleyin.

Tarihsel veriler farklı bir sorundur

Yıllar önce korunmuş bir arşivi okumak eski algoritmayı meşru olarak gerektirebilir. Bu, var olan malzemenin şifresinin çözülmesidir ve yeni trafiği korumakla aynı iş değildir.

Bu tür çalışmaları belgelenmiş bir amacı ve kimin çalıştırabileceğine dair kısa bir listesi olan yalıtılmış bir ana makinede tutun.

Bu ayrım önemlidir çünkü kullanımdan kaldırılmış bir şifrelemeyi kullanılabilir tutmanın tek dürüst nedeni budur. Sınırlı kapsamlı bir aracı meşrulaştırır, asla genel bir VPN profilinde kalıcı bir satırı değil.