IPSec IKEv1 PSKの脆弱性がリリースされた後、私たちの組織はPSKのサイズと複雑さを増やすことを決定しました。
ただし、新しいPSKのリリース時にいくつかの問題がありました。
したがって、PSKをログである[a-zA-Z0-9] {9}に制限する必要がありました。2(629)これは、最大エントロピーの53.5878ビットに変わります。
私はOpenVPNへの切り替えを強く求めていますが、その考えには反発があります。
53.5878ビットへのブルートフォース攻撃は、IKEv1のPSKでどの程度実行可能ですか(脆弱性を使用)?
定期的に(週に1回など)PSKを変更すると役立ちますか?
54ビットに近いキースペースでは、十分とは言えません。 56ビットの有効な鍵サイズを持つDESはこれより4倍大きいが、日常的に任意のDES=鍵をクラックするサービスが多数あることを考慮してください。PSKを週、キースペースが小さすぎて効果的なセキュリティ対策にはなりません。この状況を是正するには、より大きなPSKを許可するか、ニーズに適した代替プロトコルに切り替える必要があります。絶対最小キーサイズ80ビットである必要があり、理想的なキーは少なくとも128ビットです。