Discussion :

[loaurent1]

Bonjour,

Y-a-t-il des protocoles de chiffrement asymétrique efficaces alternatives au rsa pour openvpn ?

Cordialement,
Laurent.

[Diablo_22]

Bonjour,

oui le SSL:

SSL (pour Secure Sockets Layers, couche de sockets sécurisée en français) a été créé par Netscape dans les années 1990. Deux versions SSL sont sorties: v2 (1994) et v3 (1995). Le brevet a été ensuite racheté et mis à jour par l'IETF en 2001. Par la même occasion, il a été renommé en TLS qui signifie Transport Layer Security (RFC 2246).
Le mot SSL est communément utilisé pour désigner à la fois les protocoles SSL et TLS. La dernière version de TLS est la version 1.1.

BUT DE SSL:

Les deux buts principaux de SSL sont les suivants:

- Authentifier le serveur et le client en utilisant la PKI (Public Key Infrastructure).
- Fournir une connexion chiffrée pour le client et le serveur pour échanger des messages.

Lien utile:

• OpenSSL

[loaurent1]

OpenVPN possède deux modes sécurisés, l'un basé sur la sécurité SSL/TLS en utilisant les certificats et les clef RSA, l'autre en utilisant une clef statique pré-partagée. Tandis que les clef SSL/TLS + RSA sont discutablement l'option la plus sécurisée, les clef statiques ont le bénéfice de la simplicité.

Si j ai bien compris ssl/tls est le protocol qui va permettre de transporter les donné chiffré et les clé RSA les clé nécessaires a l authentification ?

Mais on est tojours tributaire du systeme RSA ? meme avec le ssl ?

les clé statiques sont-elles vraiment insecurisées ?

Cordialement,
Laurent.

[dahtah]

Salut,

Si j ai bien compris ssl/tls est le protocol qui va permettre de transporter les donné chiffré et les clé RSA les clé nécessaires a l authentification ?

Oui, en gros, mais ça dépend
Dans TLS, il faut différencier le protocole d'authentification et le protocole d’échange de clés. RSA peut être utilise pour les 2 protocoles.

Mais on est tojours tributaire du systeme RSA ? meme avec le ssl ?

Non. Tu peux utiliser DSA/ECDSA pour l'authentification (mais pas pour l'echange de cle, car la famille DSA ne sait que signer). Pour l’échange de clé, tu peux utiliser RSA, DH (Diffie Hellman), ECDH (Elliptic curve Diffie Hellman), DHE ou ECDHE (et d'autre méthodes, mais je passe)

les clé statiques sont-elles vraiment insecurisées ?

Toutes les cles d'authentification sont statiques. Regardant les échanges de clés: non, mais elles sont moins sécurise que les clés ephemeres. Si quelqu'un récupère ta clé prive (type RSA, DH et ECDH), il peut déchiffrer des paquets TLS/SSL qui ont été capture dans le passe. Ce n'est pas possible avec des clés ephemeres.

Si tu veux jouer avec TLS, tu peux utiliser scapy-ssl_tls: https://github.com/tintinweb/scapy-ssl_tls/

[loaurent1]

salut,

Quel serai le moyen de chiffrement et d authentification le plus sécurisé aujourd’hui pour du vpn ?

Cordialement,
Laurent.

[dahtah]

Si on parle de SSLVPN: ECDSA/ECDHE est le plus sécurisé (d'apres ce qu'on sait de nos jours). Après, pour ECDHE, il vaut mieux éviter les courbes NIST (famille secp*) et s'en tenir aux courbes Brainpool ou Curve25519.

Pour le cas d'IPSEC, il faut bien choisir l'Oakley group utilise pendant la phase 1 (pour DH, prendre un nombre premier large imperativement (sur au moins un espace de 2048 bits) et pour ECDHE (des cles de 256bits au moins)).

Pour le chiffrement symétrique qui suit, AES en mode GCM + sha256 est raisonnable comme base.

Après, tout ça ne considère pas les coûts en terme de performance.