web-dev-qa-db-fra.com

Tls v1.0 meilleur chiffrement pour la configuration OpenVPN

J'essaie de configurer OpenVPN avec autant de sécurité que possible. Je suis en train de choisir un chiffre pour OpenVPN. Qui est le plus sûr, tls-cipher DHE-RSA-AES256-SHA ou tls-cipher AES256-SHA?

Je l'ai déjà configuré avec ces paramètres:

  • HMAC: SHA512 pour l'option d'authentification
  • DH: 2048 Bit
  • cipher: AES-256-BFC

Et le mot de passe est demandé pendant la connexion.

Ma version OpenVPN est 2.2.1. Est-ce que ma configuration est ok? J'ai regardé -- ce post comme référence, mais je ne suis pas sûr, si je manque quelque chose?

vpncipher-selection
6
Zen

Pour les chiffres, utilisez DHE-RSA-AES256-SHA.

Si vous utilisez openssl ciphers -v Vous pouvez obtenir plus d'informations sur chaque chiffrement:

$ openssl ciphers -v DHE-RSA-AES256-SHA 
DHE-RSA-AES256-SHA      SSLv3 Kx=DH       Au=RSA  Enc=AES(256)  Mac=SHA1
$ openssl ciphers -v AES256-SHA
AES256-SHA              SSLv3 Kx=RSA      Au=RSA  Enc=AES(256)  Mac=SHA1

À partir de là, vous pouvez voir que les deux chiffonneurs peuvent être utilisés dans SSLv3, utilisent les deux RSA pour l'authentification (Au=RSA), utilisez tous les deux 256 bits AES pour le cryptage (Enc=AES(256)), et les deux utilisent SHA-1 pour le code d'authentification de message (Mac=SHA1).

Donc, la seule différence entre ces deux chiffres est l'échange clé. AES256-SHA utilise RSA pour l'échange de clé (Kx=RSA). DHE-RSA-AES256-SHA utilise Ephemeral Diffie-Hellman (Kx=DH est Diffie-Hellman pour l'échange de clé, et le DHE est éphémère Diffie-Hellman).

Diffie-Hellman est légèrement plus difficile à percer en théorie que de RSA, mais pas tant que ce sera un facteur déterminant. DHE Offres Secrecy en avant parfait et parce que la clé est éphémère (c'est-à-dire jamais stocké sur le disque), voler la clé privée est beaucoup plus difficile. Ces deux sont des facteurs décisifs, alors DHE-RSA-AES256-SHA devrait gagner pour la sécurité.

La question 1024 bits DHE vs vs 2048-bit RSA a une meilleure comparaison des vertus des deux échanges clés, et la question existe-t-il une raison particulière d'utiliser Diffie-Hellman sur RSA Pour un échange de clé? a un très Comparson détaillé entre les deux.

9
CoverosGene