Názory k článku TLS 1.3 plné novinek: vylepšená bezpečnost a vyšší rychlost

Co mi na TLS 1.3 není jasné je to, že podle specifikace musí být zapnuta podpora secp256r1 a AES128 (konkrétně TLS_AES_128_GCM_S­HA256), které jsou dnes považovány za bezpečné, ale rozhodně ne už na špici bezpečnosti.

Přemýšlím, jakým způsobem bude TLS 1.3 reagovat na požadavky vývoje, až bude AES128 definitivně považován za slabý. V tu chvíli, jestli tomu správně rozumím, bude muset vzniknout TLS 1.4 s novou specifikací, reflektující dobu...? Neví někdo, jak je to míněno?

Asi je užitečné mít nějakou spodní hranici/nejjed­nodušší společný standard, ony ty silnější šifry asi budou i HW náročné.

AES 128 už tu je nějako dobu a i na embeded zařízeních už bude celkem slušně optimalizovaný.

> Přemýšlím, jakým způsobem bude TLS 1.3 reagovat na požadavky vývoje, až
> bude AES128 definitivně považován za slabý. V tu chvíli, jestli tomu správně
> rozumím, bude muset vzniknout TLS 1.4 s novou specifikací, reflektující dobu...?
> Neví někdo, jak je to míněno?

Reakce může být podobná jako v případě TLS 1.2, tzn. vznikne nové RFC (viz např. RFC 7465 zakazující RC4 pro TLS 1.2).

Přijde mi rozumné, že do povinných šifrovacích sad zahrnuli jak blokovou (AES), tak proudovou šifru (Chacha).

… až na to, že AES-GCM je fakticky proudová šifra. Módy jako GCM, CTR a CCM z blokových šifer dělají proudové.

Zdá se mi to, nebo je 0-RTT úmyslně vložená tikající bomba?

Nezda. Nastesti je to ale by default vypnuty. Alespon v OpenSSL.
Na druhou stranu v dobrych rukou to muze pomoct. Ja jsem ale v tomhle skeptik, resp., ocekavam a bojim se nepoucenyho pouzivani.

> úzká skupina šifer, nejsou to jen ty "americké":)?

Pokud vím, ChaCha20 je příbuzná k Salsa20, která je součástí eSTREAM portfolia (EU CRYPT). Obě navíc pocházejí od stejného autora.

> snížení roundtrip - vidím v tom nebezpečí, že není klient vykecá inicializační údaje k šifrování hned. Předtím čekal odpoveď serveru a mohl se rozhodnout, jestli vůbec bude dál pokračovat v komunikaci

Klient se stále může rozhodnout 0-RTT nevyužít. RFC 8446 dokonce uvádí, že by klienti měli 0-RTT použít, pouze pokud jim nevadí možný replay útok. Souhlasím, že v budoucnu si s touto vlastností ještě "užijeme".

Ešte sme s aplikáciou, ktorú mám na starosti, neprešli skoro nikde ani na TLSv1.2, a už je tu 1.3. To zas bude šialených požiadaviek od niektorých byrokratických zákazníkov...
Aby nedošlo k nedorozumeniu, je to IT managementová aplikácia, kde komunikácia prebieha medzi servrami výlučne vo vnútorných sieťach zákazníkov (veľkých firiem) a nemá nijakú časť vystrčenú do verejného Internetu.

Můžu se zeptat, proč jste nepřešli? Nutí vás nějaká závislost mezi staršími knihovnami?

Je to zložitá pavučina závislostí.
Funguje to na klient-server princípe, kde jeden management server má tak do 2000 klientov, aby sa dalo zapnúť TLSv1.2, musia to podporovať všetci klienti. To je podporované až od istej verzie klienta, čiže je potrebné upgradnúť všetkých klientov, čo sú projekty s kopou byrokracie. Nová verzia zas nepodporuje niektoré staršie OS platformy, atď. atď.

A ešte taký drobný postreh, najviac na uplatňovanie najnovších a najprísnejších štandardov tlačia tie firmy (napr. jedna veľká banka), ktoré majú beztak celú infraštruktúru obrazne zakopanú pod zemou, prístup len cez rôzne CyberArky a pod.

Namiesto pokúšania sa o hacknutie HTTPS komunikácie, ktorá je hypoteticky o 0,0nič zraniteľnejšia (lebo sa nepoužila šifra TLS_DHE_RSA_W­ITH_AES_128_GCM_S­HA256 ale len TLS_ECDHE_RSA_WIT­H_AES_256_CBC_S­HA) - a dostať sa k nej by bolo 99% úspechu - je omnoho jednoduchšie sa v tej firme alebo u dodávateľa proste zamestnať.

Nie su ti klienti nejaki hlupi? Vsak server zvycajne podporuje viacero verzii TLS a az pri inicializacii TLS spojenia sa dohodne konkretna verzia. V klude polovica klientov moze komunikovat 1.3 a druha 1.0. Unika mi pointa preco VSETCI klienti musia podporovat danu TLS verziu.

Předpokládám, že Gregor Fefor myslel nejnižší podporovanou verzi. To je totiž to podstatné – je hezké že klient a server teoreticky podporují TLS 1.3, ale pokud je útočník donutí použít TLS 1.0, je podpora TLS 1.3 k ničemu. Jakmile se pohybujete v prostředí, kde jsou možné různé stupně zabezpečení, je útok na snížení zabezpečení to největší riziko. Proto je pro web takový problém, že je stále podporováno HTTP bez šifrování, proto je problém každá jedna starší verze TLS , kterou musíte podporovat.

Bohužel dnes jsou závislosti tak mohutné, že dřívější teze: "provozuj staré verze a nehrab se v tom dokud to není nutné" už dávno neplatí. Navíc možnosti narušení bezpečnosti existují i zevnitř, dnes s malou krabičkou velikosti cigaretové můžete klidně hackovat i uvnitř sítě.

Existují případy, kdy lze staré verze provozovat bezpečně ve vnitřní síti, ale pak se to povětšinou izoluje do VLAN, do virtuálních strojů atd., aby se zacpalo co nejvíc skulinek.

IT se stává neuvěřitelně drahým oborem a zdá se, že dlouhodobě přežijí jen ti, kteří zvládnou udržet tempo.

Pokud neprovozujete hodně staré windows neměl by být problém přejít na TLS 1.2 nebo novější. Pokud máte nějakých pár klientů co to nezvládnou dá se někam mezi šoupnout proxy co umí i TLS 1.0 a nechat jí jen pro ty staré klienty.