DES проти 3DES у VPN: чому обидва — неправильне оновлення

Обидва шифри застаріли, і жоден не є правильною метою для нового трафіку. Корисне порівняння — не DES проти 3DES; це виведений з експлуатації алгоритм проти підтримуваного. Якщо шлюз досі пропонує один із них, завдання — з'ясувати, що його вимагає, і прибрати цю вимогу, а не вибирати сильніший із двох глухих кутів.

Порівняння, яке люди досі шукають, — неправильне

Відповіді, написані у 2000-х, порівнюють DES із потрійним DES і доходять висновку, що потрійний DES сильніший. Тоді це було розумно, а тепер марно, бо обидва виведені з експлуатації для захисту нового трафіку і вибір між ними — це вибір між двома глухими кутами.

NIST відкликав стандарт DES у 2005 році, а його рекомендацію TDEA було відкликано в січні 2024 року після того, як наприкінці 2023 року минув термін застосування TDEA для нового криптографічного захисту. Ці дати описують перехід, а не рейтинг. Коротка сесія або повідомлення низької цінності не відкривають питання заново, бо статус алгоритму не залежить від того, як довго використовується ключ.

Оновлення ключа — окремий контроль, і воно не відновлює схвалення.

Відокремте узгодження від шляху даних

Протоколи VPN узгоджують захист більш ніж в одному місці. Керуючий канал може використовувати один набір, тоді як дані, що передаються, — інший, а список пропозицій каже лише те, що готовий прийняти партнер. Читайте узгоджений результат, а не пропозицію. Ця різниця пояснює часту плутанину: шлюз досі перелічує старий алгоритм, і оператор припускає, що він використовується, тоді як його можуть пропонувати і ніколи не вибирати або вибирати лише для одного старого партнера.

На шлюзі IPsec відповідний вивід — це асоціація безпеки; на OpenVPN це шифр і налаштування TLS у журналі з'єднання. Обидва кажуть, що було вибрано. Жоден не доводиться старою опцією, яка досі є у файлі конфігурації.

Якщо ви не бачите узгоджений результат, ви не можете стверджувати, що шифр виведено з експлуатації.

Знайдіть компонент, який досі його вимагає

Вимоги до застарілих систем походять із трьох місць: старий клієнт, який не пропонує нічого кращого, політика шлюзу, яка досі перелічує алгоритм, і пристрій, який говорить лише старим протоколом. Кожен має інше рішення. Запитайте власника обмеження, яке з них це, перш ніж увімкнути постачальника сумісності, бо його ввімкнення впливає на кожного партнера, що підключається.

Для одного пристрою, який поки не можна замінити, поставте перед ним підтримуваний шлюз і обмежте те, що переносить ця межа. Це стримує старий шифр, не змушуючи кожного віддаленого користувача його успадковувати.

Стримування — не латка, і воно не робить старий хост надійним.

Переходьте з перевірками, які у вас уже є

Міграція завершена, коли потрібні партнери підключаються з підтримуваним профілем, узгоджений набір — той, що ви очікували, і застосунок працює. Тримайте перевірку ідентичності сервера й перевірки облікового запису весь час; зміна шифру не є причиною їх послаблювати.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Запишіть версії клієнта й шлюзу поруч з узгодженим результатом, щоб наступний огляд міг сказати, що насправді змінилося.

Відкличте старий дозвіл через його власника, потім підтвердьте, що партнер, який пропонує лише виведений з експлуатації алгоритм, тепер відхиляється. Міграція, яка залишає стару опцію ввімкненою, — це міграція, якої не було. Зберігайте доказ відмови разом із записом про зміну, бо наступний аудит запитає, звідки ви це знаєте, а видалений рядок конфігурації — слабший доказ, ніж зафіксована відмова. Додайте дату тесту й ідентичність партнера до того запису, поки сесія ще свіжа.

Історичні дані — інша проблема

Читання архіву, захищеного роки тому, може законно вимагати старого алгоритму. Це розшифрування наявного матеріалу, і це не те саме завдання, що захист нового трафіку.

Тримайте таку роботу на ізольованому хості з документованою метою і коротким списком тих, кому це дозволено.

Ця різниця важлива, бо це єдина чесна причина тримати виведений з експлуатації шифр доступним. Вона виправдовує обмежений інструмент, але ніколи — постійний рядок у публічному профілі VPN.