Bezpečnost zapnutí komprese v OpenVPN

[xunil]

Zdravím,
Chtěl jsem u openvpn použít volbu pro kompresi (a kompenzovat horší připojení).
Dočetl jsem se, že --comp-lzo je zastaralý viz https://community.openvpn.net/openvpn/wiki/DeprecatedOptions#Option:--comp-lzo a že mám použít --compress.
Trochu mě ale zarazilo že u --compress viz https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage je poznámka:
Security Considerations

Compression and encryption is a tricky combination. If an attacker knows or is able to control (parts of) the plaintext of packets that contain secrets, the attacker might be able to extract the secret if compression is enabled. See e.g. the CRIME and BREACH attacks on TLS which also leverage compression to break encryption. If you are not entirely sure that the above does not apply to your traffic, you are advised to *not* enable compression.

Platí to jen pro --compress nebo je to i obecné?
Co mám použít?

[Reklama]

[Jan Fikar]

s bezpečností nevím, ale komprese bývá velmi často zapnutá, např. ProtonVPN to má

ještě je tu možnost komprese lz4 místo lzo, mělo by to být rychlejší, obzvlášť na pomalých CPU, třeba na mobilních klientech by se to mohlo vyplatit

[_Jenda]

Platí to jen pro --compress nebo je to i obecné?

Je to obecné. Komprese funguje tak, že předpovídá, co bude následovat, na základě dat, která už přišla. Představ si, že jsi útočník, a přenáší se data ve tvaru <něco co můžeš kontrolovat><nějaký bordel><něco co tě zajímá jestli obsahuje slovo ahoj>. Nejdřív do <něco co můžeš kontrolovat> napíšeš "bflm" a podíváš se, jak velký paket to vyrobilo. Pak tam napíšeš "ahoj" a podíváš se znovu. Pokud je teď paket menší, pravděpodobně je to kvůli tomu, že v té druhé části je slovo "ahoj", komprese zjistila, že se tam už vyskytovalo, a zakódovala ho efektivnějším způsobem.

Co s tím dál? Můžeš postupně testovat přítomnost řetězce "heslo=a", "heslo=b", heslo="c", až zjistíš, který z nich to je, tak "heslo=xa", "heslo="xb" atd.