-\section{Handout}
-\subsection{policies overview}
-\begin{frame}<beamer:0>
- \frametitle{Welche Policies gibt es?}
- \framesubtitle{LEGACY}
- \vspace{-0.2cm}
- \scriptsize{
- \begin{block}{LEGACY}
- \begin{itemize}
- \item{maximale Kompatibilität mit älteren Systemen}
- \item{weniger sicher}
- \item{Support für TLS 1.0, TLS 1.1, und SSH2}
- \item{erlaubt DSA und 3DES}
- \item{RSA and Diffie-Hellman Parameter $>$ 1024 Bit}
- \item{mindestens 64-bit Sicherheit}
- \end{itemize}
- \vspace{-0.2cm}
- \begin{description}
- \item[MACs:] all HMAC with SHA-1 or $>$ + all modern MACs (Poly1305 etc.)
- \item[Curves:] all prime $>=$ 255 bits (including Bernstein curves)
- \item[Signature algorithms:] with SHA1 hash or better (DSA allowed)
- \item[TLS Ciphers:] all $>=$ 112-bit key, $>=$ 128-bit block (incl. 3DES, no RC4)
- \item[Non-TLS Ciphers:] same as TLS ciphers with added Camellia
- \item[Key exchange:] ECDHE, RSA, DHE
- \item[DH params size:] $>=$ 1023
- \item[RSA keys size:] $>=$ 1023
- \item[DSA params size:] $>=$ 1023
- \item[TLS protocols:] TLS $>=$ 1.0, DTLS $>=$ 1.0
- \end{description}
- \end{block}
- }
- \vspace{0.5cm}
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{Welche Policies gibt es?}
- \framesubtitle{DEFAULT}
- \scriptsize{
- \begin{block}{DEFAULT}
- \begin{itemize}
- \item{ist heutiger Standard}
- \item{erlaubt TLS 1.2, TLS 1.3, IKEv2 und SSH2}
- \item{akzeptiert Diffie-Hellman Parameter $>$ 2048 Bits}
- \item{mindestens 112-Bit Sicherheit}
- \item{Ausnahmsweise sind SHA-1 Signaturen in DNSSec erlaubt}
- \end{itemize}
- \begin{description}
- \item[MACs:] all HMAC with SHA-1 or better + all modern MACs (Poly1305 etc.)
- \item[Curves:] all prime $>=$ 255 bits (including Bernstein curves)
- \item[Signature algorithms:] with SHA-1 hash or better (no DSA)
- \item[TLS Ciphers:] $>=$ 128-bit key, $>=$ 128-bit block (AES, ChaCha20, including AES-CBC)
- \item[non-TLS Ciphers:] as TLS Ciphers with added Camellia
- \item[key exchange:] ECDHE, RSA, DHE (no DHE-DSS)
- \item[DH params size:] $>=$ 2048
- \item[RSA keys size:] $>=$ 2048
- \item[TLS protocols:] TLS $>=$ 1.2, DTLS $>=$ 1.2
- \end{description}
- \end{block}
- }
- \vspace{0.5cm}
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{Welche Policies gibt es?}
- \framesubtitle{FUTURE}
- \tiny{
- \begin{block}{FUTURE}
- \begin{itemize}
- \item{Konservative Policy}
- \item{Vermutung, das sie zukünftigen Angriffen widersteht, auf Kosten der Kompatibilität}
- \item{es kann Kommunikation mit vielen Systemen verhindern, die schwächere Kryptographie verwenden}
- \item{ es sind keine SHA-1 in Signaturen erlaubt}
- \item{es wird eine (unvollständige) Post-Quanten Kryptographie unterstützt}
- \item{Unterstützung von 256-Bit symmetrischer Verschlüsselung}
- \item{RSA und Diffie-Hellman Parameter länger als 3071 Bits}
- \item{mindestens 128-Bit Sicherheit}
- \end{itemize}
- \begin{description}
- \item[MACs:] all HMAC with SHA-256 or $>$ + all modern MACs (Poly1305 etc.)
- \item[Curves:] all prime $>=$ 255 bits (including Bernstein curves)
- \item[Signature algorithms:] with SHA-256 hash or better (no DSA)
- \item[TLS Ciphers:] $>=$ 256-bit key, $>=$ 128-bit block, only Authenticated Encryption (AE) ciphers, no CBC ciphers
- \item[non-TLS Ciphers:] same as TLS ciphers with added non AE ciphers, CBC ones enabled only in Kerberos
- \item[key exchange:] ECDHE, DHE (no DHE-DSS, no RSA)
- \item[DH params size:] $>=$ 3072
- \item[RSA keys size:] $>=$ 3072
- \item[TLS protocols:] TLS $>=$ 1.2, DTLS $>=$ 1.2
- \end{description}
- \end{block}
- }
- \vspace{0.5cm}
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{Welche Policies gibt es?}
- \framesubtitle{FIPS}
- \scriptsize{
-\begin{block}{FIPS}
- \begin{itemize}
- \item{Kompatible zu den FIPS 140-2 Voraussetzungen}
- \item{wird für fips-mode-setup verwendet}
- \item{bietet mindestens 112-Bit Sicherheit}
- \end{itemize}
- \begin{description}
- \item[MACs:] all HMAC with SHA1 or better
- \item[Curves:] all prime $>=$ 256 bits
- \item[Signature algorithms:] with SHA-256 hash or better (no DSA)
- \item[TLS Ciphers:] $>=$ 128-bit key, $>=$ 128-bit block (AES, including AES-CBC)
- \item[non-TLS Ciphers:] same as TLS Ciphers
- \item[key exchange:] ECDHE, DHE (no DHE-DSS, no RSA)
- \item[DH params size:] $>=$ 2048
- \item[RSA params size:] $>=$ 2048
- \item[TLS protocols:] TLS $>=$ 1.2, DTLS $>=$ 1.2
- \end{description}
-\end{block}
- }
- \vspace{0.5cm}
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{Die BSI-Policy}
- \tiny{
- \begin{block}{BSI}
- \begin{itemize}
- \item{Author: Marcus Meissner von OpenSuse}
- \item{Grundlage des BSI Standards TR 02102 \url{https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.html}}
- \item{Empfehlungen des BSI werden regelmäßig geupdated}
- \item{unvollständige Unterstützung für Post-Quanten Kryptographie}
- \item{128 Bit Sicherheit (außer RSA)}
- \item{erlaubt kein SHA1 (außer DNSSEC und RPM)}
- \item{Beachtet Chacha20 und Camellia werden nicht vom BSI empfohlen}
- \end{itemize}
- \begin{description}
- \item[MACs:] all HMAC with SHA-256 or better + all modern MACs
- \item[Curves:] all prime $>=$ 255 bits (including Bernstein curves)
- \item[Signature algorithms:] with SHA-256 hash or better (no DSA)
- \item[TLS Ciphers:] $>=$ 256-bit key, $>=$ 128-bit block, only Authenticated
- \item[Encryption] (AE) ciphers
- \item[non-TLS Ciphers:] same as TLS ciphers with added non AE ciphers
- \item[key exchange:] ECDHE, DHE (no DHE-DSS, no RSA)
- \item[DH params size:] $>=$ 3072
- \item[RSA keys size:] $>=$ 2048 (until end of 2023, then it will switch to 3072)
- \item[TLS protocols:] TLS $>=$ 1.2, DTLS $>=$ 1.2
- \end{description}
- \end{block}
- }
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{Welche Policies gibt es?}
- \framesubtitle{NEXT und EMPTY}
- \begin{block}{NEXT}
- nur für Fedora, ähnlich wie RHEL-8 Default, daher Alias für Default
- \end{block}
-\begin{block}{EMPTY}
- Alle Kryptographischen Algorithmen sind deaktiviert, soll nur für Debugging genutzt werden
-\end{block}
-\end{frame}
-
-\begin{frame}<beamer:0>
- \frametitle{übersicht über die Libaries und ihrer Scopes}
- \begin{itemize}
- \item{libssh SSH2 protocol implementation (scopes: libssh, SSH)}
- \item{sequoia PGP, outside of rpm-sequoia (scopes: sequoia)}
- \item{rpm-sequoia PGP backend (scopes: rpm, rpm-sequoia)}
- \item{BIND DNS (scopes: BIND, DNSSec)}
- \item{GnuTLS (scopes: GnuTLS, SSL, TLS)}
- \item{Kerberos 5 (scopes: krb5, Kerberos)}
- \item{Libreswan IPsec and IKE protocol implementation (scopes: libreswan, IPSec, IKE)}
- \item{NSS TLS library (scopes: NSS, SSL, TLS)}
- \item{OpenJDK runtime environment (scopes: java-tls, SSL, TLS)}
- \item{OpenSSH SSH2 (scopes: OpenSSH, SSH)}
- \item{OpenSSL TLS library (scopes: OpenSSL, SSL, TLS)}
- \end{itemize}
-\end{frame}
-
-
-\begin{frame}<beamer:0>
- \frametitle{Deaktivierte Cipher suites}
- \begin{itemize}
- \item{DH with parameters $<$ 1024 bits}
- \item{RSA with key size $<$ 1024 bits}
- \item{Camellia}
- \item{RC4}
- \item{ARIA}
- \item{SEED}
- \item{IDEA}
- \item{TLS CBC mode ciphersuites using SHA-384 HMAC}
- \item{AES-CCM8}
- \item{all ECC curves incompatible with TLS 1.3, including secp256k1}
- \item{IKEv1}
- \end{itemize}
- diese können jedoch aktiviert werden
- \end{frame}
-
-\subsection{Konfigurations-Dateien}
-\begin{frame}<beamer:0>
- \frametitle{Konfigurations-Dateien}
- \scriptsize{
- \begin{description}
- \item[/etc/crypto-policies/back-ends] Back-End Config-Dateien, verlinkt zur Package Crypto-Policies, es sei den local.d -Konfiguration wurde hinzugefügt
- \item[/etc/crypto-policies/config] Beinhaltet Namen der aktiven Crypto-Policies
- \item[/etc/crypto-policies/local.d] weitere Konfiguration, entweder Package basierend, oder vom Admin erstellt. Die back-end.config wird angehängt, wie ausgeliefert, vom Packet.
- \item[/usr/share/crypto-policies/policies] Policy Definitions-Datei
- \item[/usr/share/crypto-policies/policies/modules] Unter Definitions-Dateien
- \item[/etc/crypto-policies/policies] Änderungen der Policy-Definitionen des System Admins
- \item[/etc/crypto-policies/policies/modules] Änderungen der Modul-Definitionen des System Admins
- \item[/usr/share/crypto-policies/$<$POLICYNAME$>$] generierte Datei des back-ends für die Policy POLICYNAME
- \end{description}
- }
- \vspace{0.5cm}
-\end{frame}
-
-
projects / susannes-git / Crypto-Policy-Vortrag.git / commitdiff