Verbesserungen beim VPN-Schlüsselaustausch in iOS 9.3, OS X 10.11.4 und Server 5.1
iOS 9.3, OS X 10.11.4 und Server 5.1 unterstützen jetzt neue Diffie-Hellman-Schlüsselaustauschgruppen und sorgen damit für noch sicherere VPN-Verbindungen.
Die genannten Versionen unterstützen die Diffie-Hellman-Gruppen (DH-Gruppen) 14 und 5 für L2TP über IPSec sowie DH-Gruppe 14 für Cisco IPSec. Hier die vorgeschlagenen Kombinationen der neu unterstützten Schlüsselaustauschvarianten:
DH-Gruppe | 14 | 14 | 14 | 14 | 5 | 5 | 5 |
Verschlüsselungsalgorithmus | AES256 | AES256 | AES256 | AES256 | AES256 | AES256 | AES256 |
Hash-Algorithmus | SHA256 | SHA1 | MD5 | SHA512 | SHA256 | SHA1 | MD5 |
Ältere Versionen von iOS, OS X und Server unterstützten DH-Gruppe 2 (ausschließlich) für L2TP über IPSec. Ältere Versionen von iOS unterstützten zudem die DH-Gruppen 5 und 2 für Cisco IPSec, wobei DH-Gruppe 2 für den aggressiven Modus gedacht war.
DH-Gruppe 2 wird weiterhin unterstützt, hat bei der Suche nach vorgeschlagenen Übereinstimmungen jedoch die niedrigste Priorität. Sowohl L2TP über IPSec als auch Cisco IPsec unterstützen ab sofort die DH-Gruppen 14, 5 und 2 (in dieser Reihenfolge). Im aggressiven Modus versucht es der VPN-Client zuerst mit DH-Gruppe 14; wenn dies fehlschlägt, versucht er es mit DH-Gruppe 2. Apple empfiehlt die Gruppen 14 oder 5, da sie sicherer sind als die eher kompromittierbare Gruppe 2.
