Synology-Forum.nl
Algemeen => The lounge => Topic gestart door: Pippin op 27 augustus 2016, 10:44:07
-
Ook OpenVPN kan betroffen zijn.
Standaard wordt het cipher Blowfish gebruikt, ook door de NAS en die is dus ook betroffen.
Wordt gebruikt gemaakt van de handleiding OpenVPN: Beter beveiligen (http://www.synology-forum.nl/vpn-server/beter-beveiligde-openvpn/) is men niet betroffen want deze maakt gebruik van een 128-bit block cipher.
OpenVPN Tracker (https://community.openvpn.net/openvpn/wiki/SWEET32)
sweet32.info (https://sweet32.info/)
Zo, misschien ga ik nu toch krijgen wat ik al zo lang graag zou willen zien van Synology.
Een update van de OpenVPN binary in het VPN Server pakket onder DSM 5.x.
De vraag blijft dan wel of ze alleen het cipher aanpassen en daarbij dan ook meteen OpenVPN op de huidige versie brengen of alleen het cipher aanpassen.
Ik ben benieuwd.....
-
Als ik dit soort berichten lees, dan maak ik me altijd zorgen en vraag mij dan af, doe ik het wel goed ?
Ik heb zeer beperkte kennis van alle mogelijke Server instellingen van OpenVPN m.n. ciphers.
Nu gebruik ik dus niet de VPN Server van de NAS, maak gebruik van de VPN Server van m'n ASUS RT-N66U met Asuswrt-Merlin.
[attachimg=1]
M.b.t. de instellingen van de VPN Server, heb ik in feite, alles default staan, omdat ik altijd zeg, heb je er geen verstand van, kom er dan ook niet an dus, de instelling voor "Encryption cipher" staat bij mij op "Default" tja.....wat is dan Default...... en wijzigt dat dan steeds.
[attachimg=2]
Eerlijk gezegd, geen idee, zou misschien ook beter gevraagd kunnen worden op het Asuswrt Forum, maar goed, probeer het toch eerst hier.
Heb dus nu (pas) gekeken naar de "Encryption cipher" mogelijkheden en begrijp in iedergeval dat je dus niet moet kiezen voor:
[attachimg=3]
Nu komt de vraag, welke dan wel.......is zo'n keuze b.v. ook afhankelijk van de Client, b.v. heb je meer CPU power nodig bij b.v. AES-256 dan bij AES-128 ?
Je snapt het al, ik heb er totaal geen verstand van dus, ben ik nu op zoek naar de beste instelling ;)
Ook v.w.b. de Clients, voor Windows gebruik ik dus gewoon DE OpenVPN (https://openvpn.net/index.php/open-source/downloads.html) echter, voor Android gebruik ik OpenVPN for Android (https://play.google.com/store/apps/details?id=de.blinkt.openvpn&hl=nl) omdat ik de App overzichtelijker vind dan die van OpenVPN (https://play.google.com/store/apps/details?id=net.openvpn.openvpn) maar, dat is persoonlijk.
Echter, daar komt dan nog een vraag, is het nu beter om toch DE OpenVPN op Android te gebruiken of het alternatief.
Kortom, door jou bericht maak ik mij (meer) zorgen of overdrijf ik nu wat. ::)
-
Zorgen maken hoeft niet direct maar is wel terecht.
Er is echter redelijk wat voor nodig voor een hacker om de attack uit te voeren.
Desalniettemin is het niet onverstandig het cipher aan te passen.
Default is BF-CBC maar er wordt al langer aan gewerkt door OpenVPN om daar vanaf te komen.
Selecteer een AES-CBC cipher.
Welke je selecteert is ook afhankelijk van de snelheid van de Asus CPU en of AESNI (hardware versnelling) ondersteund wordt.
AES-256-CBC zal wat minder qua snelheid zijn vergeleken met BF-CBC en AES-128-CBC of AES-192-CBC.
De config voor de client moet dan wel opnieuw geëxporteerd worden want het cipher moet aan beide zijden overeenkomen.
Beide Apps voor Android zijn geschikt, gebruik gewoon wat de voorkeur geniet.
-
Birdy, ik weet niet hoeveel data je door je telefoon stuurt, maar het moet heel veel zijn om je verbinding te kunnen kraken via dit lek:
In het geval van de aanval op een 3DES-HTTPS-verbinding tussen een browser en een website is het mogelijk om de secure HTTP-cookies te achterhalen als de aanvaller zo'n 785GB aan verkeer verzamelt…
…De aanval tegen OpenVPN werkt op dezelfde manier en vereist dat er langere tijd een verbinding is tussen het doelwit en de VPN-server.
-
Dat is wel zo maar is in mijn ogen geen reden om niet het cipher aan te passen.
-
@MMD
Selecteer een AES-CBC cipher.
Welke je selecteert is ook afhankelijk van de snelheid van de Asus CPU en of AESNI (hardware versnelling) ondersteund wordt.
Nou, ik denk dat het wel goed zit (?):
[attachimg=1]
[attachimg=2]
Dus, het advies is dan AES-256-CBC, begrijp ik.
@Briolet
k weet niet hoeveel data je door je telefoon stuurt
Wat dat betreft meet ik niet maar, over de telefoon zal het niet echt veel zijn ;)
Maar, gebruik ook OpenVPN op m'n PC, dan is 785GB ook wel erg veel :lol:
Ik begrijp dat het meer gaat over constante OpenVPN verbindingen die constant veel data verzenden tussen Host en Client dus, denk ik meer aan b.v. bedrijven die constante verbindingen nodige hebben.
-
Het advies is eigenlijk, gebruik geen 64-bit block ciphers meer.
Welke dat zijn is reeds geschreven.
AES-128-CBC is ook prima, scheelt weer wat CPU cycles t.o.v AES-256-CBC.
In jouw geval is hardware acceleration ondersteund dus AES-256-CBC kan dan misschien ook wel afhankelijk van de snelheid die gewenst is.
Dat is echt even testen en kijken waar je tevreden mee bent.