Herverkwik, herverbind of heroutentiseer: wat het jy nodig?

’n Sessie wat al ure lank aan die gang is, sal nie dieselfde sleutels vir ewig hou nie, en dit is doelbewus so. Drie verskillende gebeurtenisse word as sleutelrotasie beskryf: nuwe sessiemateriaal onder ’n bestaande assosiasie, ’n volledige herbou van die verbinding, en ’n herhaling van die identiteitskontrole. Elkeen het ’n ander sneller, ’n ander koste en ’n ander mislukkingspatroon. Kies die verkeerde een en die regstelling doen óf niks óf neem die tonnel sonder rede af.

Die besluit hang daarvan af watter laag werklik verval het.

Drie bewerkings wat rotasie genoem word

’n Herverkwikking skep nuwe verkeersleutels binne die bestaande beheerverhouding, met die meganisme wat die protokol bepaal. IKEv2 doen dit met ’n nuwe child security association, TLS 1.3 met ’n sleutelopdateringsboodskap, en WireGuard met ’n nuwe handdruk sodra sy tyd- of boodskaplimiete bereik word. Die tonneladresse en die geoutentiseerde identiteit bly waar hulle was.

’n Herverbinding gooi die verbinding weg en bou dit van voor af weer op, wat adrestoewysing, roetesinstallasie en enige onderhandeling wat die eerste poging gedoen het, herhaal.

Heroutentisering herhaal die identiteitsbewys self, wat ’n geloofsbrief, ’n sertifikaat of ’n tweede faktor kan behels. Dit kan met of sonder ’n herverbinding gebeur, afhangende van die produk.

Wat gebruikers by hernuwing opmerk

’n Herverkwikking behoort byna onsigbaar te wees. Assosiasie-identifiseerders verander, tellers kan herstel word, en toepassings hou hul sokkels; ’n kort pouse in een rigting is normaal tydens die uitruiling. Om ’n nuwe identifiseerder in ’n statuslys te sien, is nie bewys van ’n fout nie. Die logreël wat op die uitruiling volg, is wat jou vertel of dit klaar is.

’n Werklike onderbreking by hernuwing wys na iets spesifiek. ’n Voorstel-mismatch, ’n vervalde geloofsbrief of ’n padverandering lewer elkeen ’n ander logreël, en net een daarvan word reggemaak deur leeftye aan te pas.

Waar die drie in die praktyk uitmekaarloop

As die enigste ding wat verval het sleutelmateriaal is, herverkwik. As die eweknie-adres, roete of NAT-binding verander het en pakkette nie meer aankom nie, herverbind. As die organisasie ’n periodieke identiteitskontrole vereis, is dit heroutentisering en geen hoeveelheid leeftydinstelling vervang dit nie.

Protokolverstellings bevat gewoonlik die regte antwoord. WireGuard herverkwik ná ’n tyd- en datavolume-drempel sonder enige gebruikersaksie; IKEv2-leeftye word per child-assosiasie onderhandel; TLS-gebaseerde tonnele roteer sleutels binne die bestaande sessie. Om leeftye te verhoog om ’n herhalende fout te vermy, stel die mislukking uit en verleng die blootstelling as ’n sleutel gekompromitteer word.

Een voorbehoud is belangrik vir lang sessies: frekwensie alleen skep nie voorwaartse geheimhouding nie. Die eienskap hang daarvan af hoe sessiesleutels met langtermyngeheime verband hou en of ou sleutels vernietig word, wat ’n ontwerp- en implementeringsvraag is eerder as ’n instelling.

Kies verstekwaardes en teken dan die fase aan

Hou die verskaffer se verstekwaardes tensy ’n gedokumenteerde vereiste anders sê, en verander leeftye op beide eweknieë as jy dit hoegenaamd verander. Teken dan aan watter fase elke gebeurtenis bereik het, sodat die volgende geval teen dieselfde punt in die handdruk nagegaan kan word.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Voer ná ’n regstelling ’n beheerde hernuwing uit en stuur vars toepassingsverkeer deur die nuwe assosiasie. ’n Tonnel wat as gevestig rapporteer maar niks aanstuur nie, is die mislukking waarvoor hierdie kontrole bestaan.