CHACHA20-POLY1305 vs AES-256-CBC auf Asus RT AC 86u

W

wolfibär44

Member
Hallo zusammen ich habe testweise mal chacha20 config in meinen Asus reingeladen soweit läuft es auch nun zu meiner Frage ist das für den router empfohlen oder eher AES config . Wie sieht es mit der Sicherheit aus ist aes sichererer im asus router oder eher chacha20 poly ?
 
Sort by date Sort by votes
Ich würde AES und ChaCha20 diesbezüglich auf eine Stufe stellen. ChaCha20 wird im aktuellen Standard TLS 1.3 (das, was aus HTTP HTTPS macht) verwendet. Es ist ein relativ neuer Algorithmus, während AES schon einige Jahre auf dem Buckel hat (was es aber nicht schlechter macht).
AES und ChaCha haben grundsätzlich unterschiedliche Ansätze: AES ist ein Blockchiffre-Algorithmus, während ChaCha ein Stromchiffre-Algorithmus ist. Während es bei einigen Betriebsmodi von AES durchaus Ansätze zum Brechen der Verschlüsselung gibt, fallen die naturgemäß bei ChaCha weg. Allerdings ist AES-GCM diesbezüglich auch robust.
Click to expand...

Wenn dein Router/Computer hardwarebasierte AES Unterstützung bietet ist AES schneller, wenn nicht ist chacha schneller.
Ich persönlich würde da aber lieber noch auf AES-256-GCM setzen (nicht CBC). Sicher ist sicher ;)
 
Upvote 0 Downvote
Ok ist AES CBC nicht so sicher hier bie perfekt steht :

AES-256-GCM: 256 Bit Schlüssellänge, [+] maximale Schlüssellänge
AES-256-CBC: 256 Bit Schlüssellänge, [+] maximale Schlüssellänge

wo ist hier der unterschied ?
 
Upvote 0 Downvote
Ok vielen Dank für die Hilfe werde ich dann nochmal anpassen die config.

openvpn wirft immer die meldungen raus kann ich diese ignorieren ?

Feb 5 19:50:38 ovpn-client3[5519]: WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1618', remote='link-mtu 1633'
Feb 5 19:50:38 ovpn-client3[5519]: WARNING: 'comp-lzo' is present in local config but missing in remote config, local='comp-lzo'
Feb 5 19:50:38 ovpn-client3[5519]: WARNING: 'keysize' is used inconsistently, local='keysize 128', remote='keysize 256'
 
Upvote 0 Downvote
die ersten beiden kannste ignorieren und die dritte besagt das du local nur 128bit key eingestellt hast. denke du wolltest aber 256. Wähle die config richtig aus.

wenn du alles richtig ausgewählt hast sollte es ungefähr so aussehen.
Log Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Log Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
nochmals im PPManager kontrollieren ob 256bit auch ausgewählt ist ....

kannst aber auch chacha nehmen was ja sicherer sein soll als AES. Ist geschmackssache ;)

hier einloggen (unten der link) und links die felder aktivieren so wie du das haben möchtest und einfach probieren. sollte klappen.
hier beispiel für linux wenn du das hast.
für windows oben auf Windows symbol klicken und genauso vorgehen.. auswählen und laden ;)
sollte klappen.

-> https://www.perfect-privacy.com/de/customer/download/openvpn?system=linux
 
Upvote 0 Downvote
Hier sind mal die einstellungen hab schon jede menge im www gesucht aber nicht wirklich eine lösung gefunden mit 128bit key.
 

Attachments

  • asus 1.jpg
    asus 1.jpg
    264.2 KB · Views: 17
  • asus 2.jpg
    asus 2.jpg
    212.1 KB · Views: 20
  • asus 4.jpg
    asus 4.jpg
    126.2 KB · Views: 17
  • asus 5.jpg
    asus 5.jpg
    98.6 KB · Views: 13
  • Asus 3.jpg
    Asus 3.jpg
    199.7 KB · Views: 12
Upvote 0 Downvote
mmh, auf bild2 sind unter data ciphers die 128er mit drin.
wenn du die per hand raus löschst und nur noch die 256er drinne sind, müsste der router eigentlich zwangsweise 256bit nehmen.
vermute ich mal. pass aber auf die trennungsdoppelpunkte auf beim löschen.
versuch macht kluch ;)
 
Upvote 0 Downvote
Firmware ist auch die 386.4 drauf das man die config einstellung für asus merlin laden kann weiss ich :) Verbindung usw besteht ja auch aber es ging ja darum das sich der router nur mit dem 128er verbindet was man im log ja auch sieht. Glaube mittlerweile das es ein bug ist in der asus merlin software oder mit der openvpn version zusammenhängt da man egal was man ändert diese problem nicht lösen kann. Aber die Aussage von sheracircus stimmt so nicht config laden fertig Passwort benutzer muss eingetragen kill switch usw .
 
Upvote 0 Downvote
Ich habe ja auch nicht behauptet, dass man die einfach so reinladen kann. Mit händisch ändern, meinte ich nur, dass man nicht noch was in der cfg anpassen muss was die Verschlüsselung o. ä. betrifft. Natürlich muss Benutzer, Passwort usw. noch gesetzt werden. Ich dachte das sei selbstverständlich.

Ich habe mal bei mir in die Logdatei geschaut:

Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key <- stimmt so
Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key <- stimmt auch

aber:

WARNING: 'keysize' is used inconsistently, local='keysize 128', remote='keysize 256'

Würde mich auch interessieren, ob man diese Warnung ignorieren kann, da er ja AES-256-GCM mit 256 bit initialisiert hat ?‍♂️

MFG
 
Upvote 0 Downvote
Dies ist nur ein Nebeneffekt der Aktivierung der NCP-Aushandlung (neu ab OpenVPN 2.4), wenn das andere Ende dies nicht unterstützt.
Deaktiviere entweder NCP oder ignoriere diese Warnungen einfach. Einige Router FW mosern da gerne mal rumm.

oder:

data-ciphers-fallback AES-256-GCM in die Serverconfig eintragen und dann mal schauen !

Könnte dann eigentlich so (ungefähr) aussehen:

Log WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1554', remote='link-mtu 1606'
Log WARNING: 'auth' is used inconsistently, local='auth [null-digest]', remote='auth SHA512'
Log Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Log Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Log Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, 4096 bit RSA

Fazit:

Wenn Outgoing und Incoming Data Channel sowie Control Channel mit 256-GCM initilisiert worden sind, dann liegen auch 256 bit an.
 
Upvote 0 Downvote
Die Option dies in Merlin direkt einzustellen habe ich nicht gefunden. Habe nun aber

data-ciphers-fallback AES-256-GCM

zusätzlich in die config eingetragen und jetzt sieht der Log so aus:

WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1581', remote='link-mtu 1633'
WARNING: 'auth' is used inconsistently, local='auth [null-digest]', remote='auth SHA512'
Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 4096 bit RSA, signature: RSA-SHA512

Die keysize Warnung ist nun verschwunden. ?

MFG
 
Upvote 0 Downvote
You must log in or register to reply here.
Back
Top