Perché TLS 1.3 depreca i gruppi DHE personalizzati?

Question

Perché TLS 1.3 depreca i gruppi DHE personalizzati?

#1 da (9 voti)

9

Secondo la seconda bozza della specifica TLS 1.3 , i gruppi DH personalizzati sono stati deprecati. Come tutti sappiamo, i gruppi DH hardcoded sono vulnerabili a un attacco precomputazione che consente la decrittografia retroattiva. Dal momento che TLS 1.3 non depreca completamente il DH per lo scambio di chiavi, immagino che questo significhi che ricadrà sui gruppi standard (ad esempio, i gruppi Oakley). Tenendo presente questo, perché TLS 1.3 depreca i gruppi DH personalizzati? Perché non fare l'opposto e deprecare invece i gruppi standard, o addirittura deprecare tutti gli scambi di chiavi DH per far posto a ECC?

cryptography tls key-exchange diffie-hellman protocols

posta forest 19.03.2018 - 04:10

fonte

1 risposta

Leggi altre domande sui tag cryptography tls key-exchange diffie-hellman protocols

Impersonare un computer in un dominio Windows Hai dimenticato la password e hai rivelato se l'account esiste [duplicato]

score 9 · Accepted Answer

Con TLS 1.2 il server doveva prima dire al client all'interno del messaggio ServerKeyExchange sui parametri del gruppo DHE che supporta. Solo allora il cliente potrebbe agire su questi. Con TLS 1.3 il client sceglie invece da una serie di gruppi denominati dall'inizio. Poiché ora il client sceglie i gruppi anziché il server, lo scambio di chiavi può iniziare immediatamente (tutte le informazioni sono conosciute dall'inizio) che taglia un RTT completo dall'handshake, con un conseguente miglioramento delle prestazioni.

Naturalmente, in teoria si potrebbero anche avere ancora gruppi personalizzati in questo modo, solo che il client definisce questi gruppi questa volta e non il server. Non riesco a trovare alcuna informazione specifica sul perché gruppi personalizzati siano stati rimossi, ma è sembrato accadere durante un incontro ad interim a metà 2014 basato su questo messaggio nella mailing list TLS . Non riesco a trovare alcuna informazione al riguardo nella riunione ufficiale del 03/2014 né sulla prossima a 07/2014 .

Ma alcune informazioni nel documento Registri indiscreti: persistenti difese difensive-infernali in TLS del 2016 potrebbe indicare la direzione giusta. Questo documento discute backdoor negabili utilizzando gruppi DH personalizzati e in VII. Discussione A. Strategie di mitigazione varie strategie sono discusse per prevenire tali backdoor, come disabilitare completamente DHE o usare solo gruppi DH noti (chiamati) simili a ciò che viene fatto con ECC. Se la rimozione completa di DHE non è un'opzione, avere un set fisso di parametri DHE con nome sembra il modo più semplice per gestire questo problema.