OpenVPN-Warnung: „INSECURE cipher (BF-CBC)“ – SWEET32-Risiko und Lösungen

[capri]

Hallo zusammen,

in meinen OpenVPN-Logs erscheint aktuell die Warnung:

Code: Select all

WARNING: INSECURE cipher (BF-CBC) with block size less than 128 bit (64 bit)…

Worum geht es?

• Der alte Cipher BF-CBC (Blowfish, 64-Bit-Blöcke) ist anfällig für SWEET32.

• Das bedeutet: Bei viel Datenverkehr könnten Teile der Kommunikation entschlüsselt werden.

• OpenVPN 2.7 wird unsichere Ciphers wie BF-CBC nicht mehr unterstützen.

Meine Fragen:

• Wird AES-256-GCM mit OpenVPN bereits vollständig unterstützt?

• Wie müsste die Client-Konfiguration aussehen, um BF-CBC zu vermeiden und AES-256-GCM sicher zu nutzen?

• Falls die Unterstützung noch nicht vollständig ist: Gibt es einen Zeitplan, wann man mit der Umstellung rechnen kann?

Danke schon mal für eure Hinweise und Tipps!

[kleinigj]

Gibt es hierzu irgendwelche Neuigkeiten? Es ist etwas ärgerlich, für Feste-IP jedes mal eine Extrawurst konfigurieren zu müssen, weil der OpenVPN-Server veraltet ist. Mal abgesehen vom durch capri angesprochenen Sicherheitsrisiko.

Danke!