Publicité en cours de chargement...
Chiffrement, compression : révisons nos configurations OpenVPN
27 nov. 2018 - 10:26,
Tribune - Charles Blanc-Rolin
Malgré l’apparition il y a quelques années de la très séduisante solution libre Wireguard [1], OpenVPN reste l’outil de prédilection pour mettre en place facilement des tunnels VPN client / serveur, tout comme IPsec reste le standard en matière de connexion VPN site à site (ou routeur à routeur).
Sa gratuité et sa simplicité d’utilisation ont fait son succès. Son code source fourni sous licence GPL V2, fait qu’OpenVPN est également l’épine dorsale de plusieurs solutions commerciales.
Même si Wireguard apparaît comme LA technologie qui remplacera prochainement IPSec et OpenVPN selon plusieurs experts, Wireguard reste une solution jeune (apparue en 2015) et encore peu maîtrisée des administrateurs réseaux, qui on fait le choix de la facilité, s’en remettre à des technologies plus matures, et surtout qu’ils maîtrisent, ou plutôt, connaissent !
En effet, pour en revenir à la solution OpenVPN, elle fêtera ses 18 ans au mois de mai prochain.
Si c’est une solution qui est toujours présente dans vos SIH, directement ou indirectement via des solutions commerciales, avant de fêter son entrée à l’age de la majorité, un petit check-up s’impose.
#CHIFFREMENT
Le chiffrement proposé par OpenVPN repose sur le protocole SSL / TLS. La version 1.0 de TLS reste la version active par défaut, alors qu’elle est aujourd’hui dépréciée et que les éditeurs des principaux navigateurs Web ont annoncé qu’ils ne supporteraient plus les versions 1.0 et 1.1 de TLS dès 2020 [2].
Alors, activer TLS 1.2 (disponible depuis la version 2.3.3) peut s’avérer judicieux pour augmenter le niveau de sécurité de ses connexions. Une action, qui au bas mot, prend deux minutes, temps d’authentification sur la machine, de paramétrage et de redémarrage du service inclus.
Il suffit d’ajouter dans le fichier de configuration du serveur la ligne suivante :
tls-version-min 1.2
À noter également, la version 1.3 de TLS est implémentée dans OpenVPN depuis la version 2.4.5 [3]. Malgré son haut niveau de sécurité, il est peut être préférable d’attendre encore quelques mois avant de l’activer, afin de conserver une rétro-compatibilité avec les clients d’une version inférieure, encore présents dans les dépôts de versions stables de certaines distributions Linux.
#COMPRESSION
Par défaut, OpenVPN utilise le mécanisme de compression LZO, un mécanisme dont l’extrême vulnérabilité (VORACLE) a été démontrée cet été lors de la dernière édition de la Def Con par le chercheur Nafeez (@skeptic_fx) [4]. Une vulnérabilité qui permet de déchiffrer le trafic non chiffré à l’intérieur du tunnel, comme ici avec le cas d’une connexion HTTP à l’intérieur d’un tunnel VPN :
Dans un communiqué daté du 29 septembre [5], OpenVPN recommande la désactivation de la compression LZO pour les versions de la branche 2.3.X et l’utilisation de l’algorithme de compression stub-v2 pour les versions de la branche 2.4.X afin d’éviter toute interception de données non chiffrées transitant dans le tunnel.
Là encore deux lignes à insérer dans le fichier de configuration du serveur suffisent à corriger ce problème :
Pour les versions 2.3.X :
comp-lzo no
- push "comp-lzo no"
Pour les versions 2.4.X :
compress stub-v2
- push "compress stub-v2
Afin de s’assurer que la compression LZO est bien désactivée, il faut que dans les logs du serveur OpenVPN, la variable LZO soit égale à 1 :
lzo = 1
La simplicité d’amélioration de la sécurité est tellement « enfantine », qu’il serait vraiment dommage de s’en priver.
[2] https://www.forum-sih.fr/viewtopic.php?f=78&t=1139#p4159
[3] https://community.openvpn.net/openvpn/wiki/ChangesInOpenvpn24#OpenVPN2.4.5
Avez-vous apprécié ce contenu ?
A lire également.
Covid-19 et vidéo-conférence : Pourquoi Zoom n’est pas la solution idéale ?
07 avril 2020 - 10:03,
Tribune
- Charles Blanc-RolinDepuis une semaine, l’application de vidéo-conférence Zoom fait couler de l’encre à n’en plus finir dans le domaine de la sécurité. Si personne ne vous a encore demandé un accès à cet outil dans votre établissement, ça ne devrait pas tarder, sauf si… un utilisateur l’a déjà utilisé à votre insu. Apr...
Kr00k : le Wifi une nouvelle fois mis à mal
28 fév. 2020 - 14:34,
Tribune
- Charles Blanc-RolinLes chercheurs de la société Eset ont publié le 26 février un rapport [1] sur une nouvelle vulnérabilité affectant de très nombreuses puces Wifi utilisant les protocoles WPA2 et WPA2 Enterprise avec un chiffrement AES-CCMP. Ce qui est toujours la norme aujourd’hui, préconisée par l’ANSSI [2]. Il ne ...
Chiffrer ses postes clients Windows avec BitLocker en connaissance de cause
06 nov. 2018 - 08:10,
Tribune
- Charles Blanc-RolinPour préserver la confidentialité et éviter toute violation de données à caractère personnel, à plus forte raison lorsqu’il s’agit de données aussi sensibles que les données de santé manipulées au quotidien par nos utilisateurs, le recours au chiffrement peut s’avérer nécessaire, comme le souligne à...
En quoi WPA3 va renforcer la sécurité de nos réseaux Wifi ?
11 jan. 2018 - 08:25,
Tribune
- Charles Blanc-RolinÀ l’occasion du CES de Las Vegas, le salon international de l’innovation dans le domaine du numérique et des nouvelles technologies, qui se déroule cette semaine, la Wi-Fi Alliance® a annoncé l’arrivée de la norme WPA3, implémentée dès cette année, elle viendra remplacer WPA2 (1).
