Che cos'è ECDHE-RSA?

Le suite ECDHE utilizzano lo scambio di chiavi diffie-hellman con curve ellittiche, in cui le suite DHE utilizzano il normale diffie-hellman. Questo scambio è firmato con RSA, allo stesso modo in entrambi i casi.

Il vantaggio principale di ECDHE è che è significativamente più veloce di DHE. Questo articolo del blog parla un po 'delle prestazioni dell'ECDHE rispetto a DHE nel contesto di SSL.

Per aggiungere un po 'di informazioni su cosa dice @CodesInChaos:

Quando si utilizza ECDHE anziché DHE, è possibile ottenere i seguenti vantaggi:

• Prestazioni migliori. ECDHE è più veloce, per un determinato livello di sicurezza; @CodesInChaos punta a un articolo che fornisce cifre; vedi anche questa risposta per perché la curva ellittica offre prestazioni migliori.
• Messaggi più piccoli. Una chiave pubblica ECDH, con una curva a 224 bit, sarà codificata su 56 byte, mentre una classica chiave pubblica DH di forza simile deve utilizzare un modulo a 2048 bit e utilizzerà 256 byte . Dato che ci sono due messaggi di questo tipo in un handshake SSL, ECDHE ti salva circa 400 byte. Non è molto, ma può fare la differenza in alcuni contesti.
• Biodiversità. L'ECDH si basa sulla durezza di un problema matematico che è diverso da quello utilizzato per la DH classica. In una certa misura, la DH classica può essere vista come un sottocaso molto specifico di ECDH (i calcoli modulo a primo sono isomorfi all'aggiunta del punto di curva in una curva anomala) così possiamo presentare una discussione su come ECDH è intrinsecamente almeno strong quanto DH (se ECDH è rotto, così è DH). In pratica, esistono algoritmi sub-esponenziali (cioè più veloci) per la risoluzione del logaritmo discreto , motivo per cui dobbiamo utilizzare un 2048 -bit modulo invece di un modulo a 224 bit per DH semplice; mentre nessun algoritmo "più veloce" è noto per rompere la variante della curva ellittica.
• Modificabilità. Le curve ellittiche sono cool . Questo è un vantaggio importante, sebbene sia espresso abitualmente con una terminologia più seria e noiosa ("conformità", "algoritmo approvato" ...).
• Pulizia. Se si applica l'uso di ECDHE, si rifiuteranno automaticamente le vecchie implementazioni che non sanno come fare ECDHE. Se si utilizza ECDHE per il proprio server Web, non è più necessario preoccuparsi di IE 6.0 o 7.0! Gli argomenti crittografici per ECDHE sono una buona scusa per uccidere tali dinosauri che avrebbero dovuto essere fossilizzati molto tempo fa.

Vedo due domande

"where do the elliptic curves in ECDHE-RSA are exactly used?"

Vedo che questo è come "Come vengono utilizzate le curve ellittiche quando è RSA in ECDHE_RSA?". Bene, controlla RFC 4492, Sezione 2, ECDHE_RSA - è abbastanza buono. In sostanza, il certificato del server è un certificato RSA (cioè con chiavi RSA a lungo termine) ma durante l'handshake TLS accetta invece un transitorio / temporaneo / Effimero (il E è DHE ) Chiave pubblica CE con DH. Quindi l'autenticità a lungo termine è confermata tramite la firma RSA del server cert ma le chiavi transitori sono derivate da chiavi EC effimere (che generano quindi la chiave simmetrica)

What upsides has ECDHE-RSA over DHE-RSA?

Questo è già stato risolto nelle altre risposte.

What is the difference between ECDHE-RSA and DHE-RSA?

Iniziamo con le somiglianze.

• Entrambi i ciphersuites utilizzano le chiavi effimere per il processo Diffie-Hellman. (che è la "E" nel nome). Ciò garantisce la segretezza.
• Entrambi ciphersuites utilizzano RSA per firmare le chiavi emphermeral del server e quindi di proteggere lo scambio contro gli attacchi man-in-the-middle (cioè la RSA nel nome).

Ora per la differenza.

• ECDHE-RSA utilizza Diffie-Hellman su una curva ellittica gruppo mentre DHE-RSA utilizza Diffie-Hellman su un gruppo modulo-prime.

What upsides has ECDHE-RSA over DHE-RSA?

C'è un attacco ben noto che funziona per DH convenzionale ma non per ECDH.

Come risultato ottenere lo stesso livello di sicurezza ipotizzata * DH ha bisogno di un gruppo molto più grande di ECDH. Ciò significa calcoli più lenti e più traffico di rete.

Entrando nel mondo disordinato degli aspetti pratici alcuni clienti supportano solo il DHE convenzionale mentre altri client supportano solo ECDHE. Inoltre, Java 7 fallirà l'handshake se DHE viene usato con un primo più grande di 1024 bit **.

Quindi, se volete la compatibilità a livello client, crittografia strong e segretezza in avanti con il maggior numero di clienti possibile di quanto si dovrebbe usare ECDHE come l'opzione preferita e DHE (con un grande opportunamente primo) come la seconda scelta.

* Questa è la quantità di sforzo computazionale necessario per craccarla, dati i migliori attacchi attualmente noti.
** Nessuno ha ammesso pubblicamente di craccarlo ma si sospetta che gli aggressori dotati di risorse sufficienti possano farlo.