Preguntes freqüents
Fa uns pocs anys, un equip d'experts en seguretat va publicar un document que descriu un escenari d'atac que permet comprometre una connexió IKEv1 Aggressive Mode amb Pre-Shared Key, i que no es podria aplicar de la mateixa manera a una connexió IKEv1 Main Mode amb Pre-Shared Key, cosa que va portar a l'assumpció errònia que Aggressive Mode és fonamentalment molt més insegur que Main Mode. No obstant això, si analitzem els fets de forma neutral, aquesta afirmació no es correspon amb la realitat. El que molta gent desconeix és el fet que una part d'aquest atac era intentar endevinar la Pre-Shared Key (PSK) mitjançant un atac de "força bruta", i aquest atac només pot tenir èxit si la PSK s'ha escollit de forma poc segura. Una PSK també és només una contrasenya, i com sempre passa amb les contrasenyes, les contrasenyes febles condueixen a una seguretat deficient. Sempre que la PSK tingui almenys 14 caràcters (com més millor), estigui formada per lletres majúscules i minúscules i dígits, i s'hagi generat completament de forma aleatòria (de manera que no es pugui endevinar fàcilment), i sempre que en la fase 1 s'hagi seleccionat com a mínim SHA1 com a hash (o millor, recomanem SHA-256 si és possible), no hi ha cap raó per suposar que una connexió Aggressive Mode PSK sigui fonamentalment menys segura que una connexió Main Mode PSK. Si voleu estar absolutament segurs, simplement trieu l'autenticació basada en certificats, si és possible, ja que això fa que aquest atac no sigui possible.
Antecedents tècnics:
La Pre-Shared Key (PSK) no és una contrasenya utilitzada per xifrar les dades, sinó que serveix exclusivament per a l'autenticació, de la mateixa manera que un usuari inicia sessió en un lloc web amb una contrasenya. Durant la fase 1, ambdues parts han de demostrar-se mútuament que coneixen la PSK. Per descomptat, això no pot passar enviant-la a l'altra part, perquè fins i tot si l'altra part no la coneixia anteriorment, ara sí que la coneixerà. En canvi, ambdues parts han de calcular un nombre (un valor hash), per a la qual cosa s'utilitzen tant les dades que ja han intercanviat les dues parts (i que són diferents en cada connexió per garantir que el valor hash també sigui diferent cada vegada) com la PSK. Només aquest valor hash s'envia a l'altra part, que llavors ha de fer exactament els mateixos càlculs. Si obté el mateix resultat, vol dir que l'altra part també va utilitzar la mateixa PSK, per tant, la coneix. El mateix joc es repeteix llavors en sentit contrari, amb un lleuger desviament en el càlcul aquí, per garantir que els dos valors hash siguin sempre diferents, ja que enviar el mateix valor no demostraria res.
La diferència entre Main Mode i Aggressive Mode és simplement que en Main Mode el valor hash es transmet xifrat, perquè el procediment d'intercanvi de claus (DH Exchange) que condueix a una clau de sessió segura a ambdues parts ja s'ha completat en aquest moment i, un cop les dues parts tenen una clau de sessió, tots els paquets només es transmeten xifrats. Amb Aggressive Mode, el valor hash es transmet sense xifrar, perquè l'intercanvi de claus encara no s'ha acabat en aquest moment. Per tant, un atacant que escolti una connexió Aggressive Mode pot accedir tant al valor hash com a totes les dades necessàries per calcular-lo, excepte la PSK real. Això per si sol no trenca la connexió, només té prou informació per començar a buscar la PSK, per exemple mitjançant un atac de "força bruta" (provar totes les combinacions possibles) o un atac de diccionari (provar contrasenyes sovint utilitzades que s'han obtingut per filtracions de dades). Només si la PSK és massa feble per resistir aquests atacs es pot comprometre finalment la connexió. Per tant, una bona PSK suficientment segura és essencial per a la seguretat d'una connexió VPN PSK.
No obstant això, el mateix atac també és possible en una connexió Main Mode, però requereix un esforç addicional. En el cas de Main Mode, no n'hi ha prou amb poder llegir el trànsit, sinó que cal un atac de tipus Man-in-the-Middle (MitM), és a dir, un atacant ha d'interceptar i manipular el trànsit. Mitjançant un atac MitM, un atacant pot deshabilitar el xifratge, cosa que no n'hi ha prou per accedir a la VPN, ja que encara cal la PSK, perquè sense ella la fase 1 no es completarà correctament, però fins i tot llavors un atacant tindria el valor hash i totes les dades necessàries per calcular-lo i podria intentar endevinar la PSK de la mateixa manera que en una connexió Aggressive Mode. I si un atacant ja és capaç de llegir tot el trànsit (que és un requisit fonamental per a qualsevol escenari d'atac), és molt probable que també pugui dur a terme un atac MitM i, en aquest cas, Main Mode no ofereix cap protecció addicional.
Una PSK de 11 caràcters alfanumèrics aleatoris té una entropia d'aproximadament 64 bits, que equival a 2^64 valors possibles. Les targetes gràfiques modernes de gamma alta (a partir del 2016) poden calcular en l'ordre d'1 mil milions de valors hash SHA-256 per segon. De mitjana, cal provar el 50% de tots els valors possibles per trobar una coincidència, cosa que trigaria 292 anys. Si un atacant disposés de 100 d'aquestes targetes gràfiques, l'atac "només" duraria uns 3 anys. Però fins i tot amb 14 caràcters, l'entropia és d'aproximadament 80 bits i aquí una sola targeta gràfica trigaria 19.154.798 anys. Ni tan sols 10.000 targetes gràfiques reduirien significativament el temps. I mai no s'ha d'oblidar el cost d'un atac com aquest. No tant el cost de comprar les targetes gràfiques, sinó més aviat el seu consum energètic si totes aquestes targetes gràfiques funcionen amb potència màxima 24 hores al dia durant anys, dècades o fins i tot segles. Això suposaria ràpidament milers de milions d'euros en costos d'energia només per comprometre una sola connexió PSK a tot el món. A més, cada vegada que es canvia la PSK, l'atacant ha de començar des del principi. Per tant, si la PSK es canvia només un cop a l'any, un atacant tindria com a màxim 1 any per trobar-la; això ja seria força ambiciós, fins i tot amb una PSK feble.