VPNda DES va 3DES: nega ikkisi ham noto'g'ri yangilanish

Ikkala shifr ham eskirgan va yangi trafik uchun hech biri to'g'ri nishon emas. Foydali taqqoslash DES bilan 3DES emas; bu foydalanishdan chiqarilgan algoritm bilan qo'llab-quvvatlanadigan algoritm o'rtasidagi taqqoslash. Agar shlyuz hali ham ulardan birini taklif qilsa, vazifa nima uni talab qilishini topish va o'sha talabni olib tashlashdir, ikki boshi berk yo'ldan kuchlisini tanlash emas.

Odamlar hali izlayotgan taqqoslash noto'g'ri

2000-yillarda yozilgan javoblar DESni uch karra DES bilan taqqoslaydi va uch karra DES kuchliroq degan xulosaga keladi. O'shanda bu o'rinli edi, endi foydasiz, chunki ikkisi ham yangi trafikni himoya qilish uchun foydalanishdan chiqarilgan va ular orasidagi tanlov ikki boshi berk yo'l orasidagi tanlovdir.

NIST 2005-yilda DES standartini qaytarib oldi va uning TDEA tavsiyasi 2024-yil yanvarida qaytarib olindi, TDEA ni yangi kriptografik himoyaga qo'llash muddati 2023-yil oxirida tugagandan keyin. Bu sanalar o'tishni tasvirlaydi, reytingni emas. Qisqa seans yoki past qiymatli xabar savolni qayta ochmaydi, chunki algoritm holati kalit qancha vaqt ishlatilishiga bog'liq emas.

Kalitni yangilash alohida nazoratdir va u ruxsatni tiklamaydi.

Muzokarani ma'lumot yo'lidan ajrating

VPN protokollari himoya bo'yicha bir necha joyda muzokara qiladi. Nazorat kanali bir to'plamdan foydalanishi mumkin, uzatilayotgan ma'lumot esa boshqasidan, va takliflar ro'yxati faqat hamkor nimani qabul qilishga tayyorligini aytadi. Taklifni emas, muzokara qilingan natijani o'qing. Bu farq keng tarqalgan chalkashlikni tushuntiradi: shlyuz hali eski algoritmni sanab o'tadi va operator u ishlatilmoqda deb o'ylaydi, holbuki u taklif qilinishi va hech qachon tanlanmasligi yoki faqat bitta eski hamkor uchun tanlanishi mumkin.

IPsec shlyuzida tegishli chiqish xavfsizlik assotsiatsiyasidir; OpenVPN da esa ulanish jurnalida shifr va TLS sozlamalari. Ikkisi ham nima tanlanganini aytadi. Hech biri konfiguratsiya faylida qolgan eski variant bilan isbotlanmaydi.

Agar muzokara qilingan natijani ko'ra olmasangiz, shifr foydalanishdan chiqarilgan deb ayta olmaysiz.

Uni hali talab qiladigan komponentni toping

Eski talablar uch joydan keladi: yaxshiroq narsa taklif qilmaydigan eski mijoz, algoritmni hali sanab o'tadigan shlyuz siyosati va faqat eski protokolda gapiradigan qurilma. Har birining yechimi boshqacha. Moslik provayderini yoqishdan oldin cheklov egasidan qaysi biri ekanini so'rang, chunki uni yoqish ulanadigan har bir hamkorga ta'sir qiladi.

Hali almashtirib bo'lmaydigan bitta qurilma uchun uning oldiga qo'llab-quvvatlanadigan shlyuz qo'ying va bu chegara nimani olib o'tishini cheklang. Bu eski shifrni ushlab turadi, lekin har bir masofaviy foydalanuvchi uni meros olmaydi.

Cheklash yamoq emas va u eski xostni ishonchli qilmaydi.

Sizda bor tekshiruvlar bilan migratsiya qiling

Migratsiya mo'ljallangan hamkorlar qo'llab-quvvatlanadigan profil bilan ulanganda, muzokara qilingan to'plam kutganingiz bo'lganda va dastur ishlaganda tugaydi. Server identifikatsiyasini tekshirish va hisob tekshiruvlarini doim ushlab turing; shifr o'zgarishi ularni bo'shatish uchun sabab emas.

openvpn --version
openssl ciphers -v 'DEFAULT:!DES:!3DES'

Mijoz va shlyuz versiyalarini muzokara qilingan natija yoniga yozing, shunda keyingi ko'rib chiqish aslida nima o'zgarganini ayta oladi.

Eski ruxsatni uning egasi orqali qaytarib oling, so'ng faqat foydalanishdan chiqarilgan algoritmni taklif qiladigan hamkor endi rad etilishini tasdiqlang. Eski variantni yoqilgan holda qoldiradigan migratsiya bo'lmagan migratsiyadir. Rad etish dalilini o'zgarish yozuvi bilan saqlang, chunki keyingi audit qanday bilganingizni so'raydi va o'chirilgan konfiguratsiya satri qayd etilgan rad etishdan kuchsizroq dalil. Seans hali yangi bo'lganda o'sha yozuvga test sanasi va hamkor identifikatsiyasini qo'shing.

Tarixiy ma'lumotlar boshqa muammo

Yillar oldin himoyalangan arxivni o'qish qonuniy ravishda eski algoritmni talab qilishi mumkin. Bu mavjud materialni shifrdan chiqarish va yangi trafikni himoya qilish bilan bir xil vazifa emas.

Bunday ishni izolyatsiya qilingan xostda, hujjatlashtirilgan maqsad va uni kim bajarishi mumkinligi haqidagi qisqa ro'yxat bilan saqlang.

Bu farq muhim, chunki foydalanishdan chiqarilgan shifrni mavjud holda saqlashning yagona halol sababi shu. U cheklangan vositaning oqlaydi, ommaviy VPN profilidagi doimiy satrni hech qachon oqlamaydi.