OpenVPN -cipher vs -tls-cipher?

Naviga le tue risposte
7

Attualmente sto usando il comando -tls-cipher sul server per consentire solo il cipher che voglio ( TLS-DHE-RSA-WITH-AES-256-GCM-SHA384 ) ma c'è anche il comando -cipher , e la pagina man di OpenVPN non è chiara con le differenze tra loro . Googling inoltre non ha restituito informazioni utili. Molti siti web dimmi anche che dovrei usare anche io i due ma non dire perché, volevo controllare qui prima.

Devo utilizzare -tls-cipher + -cipher per essere sicuro di utilizzare solo AES-256-GCM per crittografare la connessione?

Sono su OpenVPN 2.3.

    
posta Freedo 29.06.2015 - 08:20
fonte

1 risposta

12

'Modern' OpenVPN (2.x, utilizzando la modalità TLS) imposta fondamentalmente due connessioni:

  1. Il "canale di controllo". Questo è un canale a bassa larghezza di banda, su cui ad es. parametri di rete e materiale chiave per il "canale dati" viene scambiato ". OpenVPN utilizza TLS per proteggere i pacchetti del canale di controllo.

  2. Il "canale dati". Questo è il canale attraverso il quale viene inviato il traffico VPN effettivo. Questo canale è codificato con materiale chiave scambiato sul canale di controllo.

Entrambi questi canali sono duplex su una singola porta TCP o UDP.

--tls-cipher controlla il codice utilizzato dal canale di controllo. --cipher insieme a --auth controllano la protezione del canale dati.

Per quanto riguarda la sicurezza, OpenVPN utilizza encrypt-then-mac per il suo canale dati, piuttosto che mac-then-encrypt come TLS. Tutti i problemi relativi alla CBC che senti sono dovuti alla combinazione mac-then-encrypt + CBC. Ciò significa che AES-CBC per il canale dati è perfettamente soddisfacente dal punto di vista della sicurezza.

(E non esiste ancora il supporto GCM per il canale dati. Arriverà in OpenVPN 2.4.)

    
risposta data 30.06.2015 - 22:05
fonte

Leggi altre domande sui tag

Firefox 52 Privacy e caratteri Come si traccia la pulizia della cronologia di bash?