Quale gruppo PFS è raccomandato per la configurazione IPSec?

Quello che tu chiami come "Gruppi PFS" sono i gruppi Diffie-Hellman più precisamente. Il protocollo IKE (Internet Key Exchange) utilizza Diffie-Hellman per ricavare il materiale chiave per le associazioni di sicurezza IKE e IPsec (SA). Con IKEv2, le chiavi per la prima IPsec (o Child) SA derivano dal materiale della chiave IKE (non c'è scambio DH durante lo scambio IKE_AUTH che segue lo scambio IKE_SA_INIT iniziale). Uno scambio DH separato può facoltativamente essere utilizzato con gli scambi CREATE_CHILD_SA per le associazioni child create successivamente o i loro reinterrotti. Solo per rekeyare la IKE SA stessa è obbligatorio uno scambio di DH (quindi, anche se non viene utilizzato alcun scambio di DH separato per ogni Child SA, il loro materiale chiave sarà derivato dai nuovi segreti DH una volta che IKE SA è stato reimpostato).

I gruppi DH attualmente definiti per IKEv2 sono elencati in Transform Type 4 - Diffie-Hellman Group Transform IDs . Nel 2017, RFC 8247 è stato rilasciato con raccomandazioni sugli algoritmi per IKEv2, inclusi Diffie-Gruppi Herman nella sezione 2.4 . Secondo questo, i gruppi da evitare sono

• i gruppi MODP sotto 2048-bit (gruppi 1, 2 e 5), perché si presume che anche il gruppo 5 (1536-bit) possa essere danneggiato dagli attaccanti a livello di stato nazione nel prossimo futuro,
• e quei gruppi MODP con sottogruppi di ordine primo (22, 23 e 24), poiché il gruppo 22 era già dimostrato debole (irrisolto dal mondo accademico).

Quindi per MODP almeno 2048 bit e per ECP almeno 256 bit dovrebbe essere usato. Per una valutazione generale della forza crittografica dei gruppi keylength.com potrebbe essere utile.

What is the implication for using better PFS groups?

Possono sorgere due problemi:

1. Più grande è il gruppo, più la computazione è costosa derivazione della chiave (questo è principalmente un problema con i gruppi MODP), quindi come un operatore gateway questo potrebbe essere un problema se ci sono molti clienti che creano contemporaneamente le SA (l'accelerazione hardware può aiutare ).
2. I grandi gruppi MODP possono potenzialmente causare la frammentazione IP perché i messaggi IKE_SA_INIT, che trasportano i valori DH pubblici, superano il MTU (in particolare per i client che inviano anche molti payload delle richieste di certificati). Questo è un problema se tali frammenti vengono rilasciati da firewall / router intermedi. La frammentazione IKEv2 (RFC 7383) non è di aiuto in quanto opera esclusivamente su messaggi crittografati (ad esempio, a partire da IKE_AUTH).