IKEv2 assosiasiyalarının ömrü: yumşaq yeniləmə, sərt bitmə, ayrı autentifikasiya

Taymerlər tunelin açarlarının nə vaxt dəyişdiriləcəyini müəyyən edir və iştirak edən iki hədd çox vaxt biri kimi oxunur. Amma belə deyil. Yumşaq ömür həmyaşıdından cari təhlükəsizlik assosiasiyası hələ trafik daşıyarkən əvəzedici qurmağı xahiş edir, sərt ömür isə əvəzedicinin işləməsindən asılı olmayaraq köhnə assosiasiyanın yox olduğu son tarixdir. Onların arasında paketlərin boşluğa düşməməsi üçün mövcud olan üst-üstə düşmə pəncərəsi yerləşir.

Ömür əslində nəyi məhdudlaşdırır

IPsec təhlükəsizlik assosiasiyası kriptoqrafik vəziyyətin dəstəsidir: bir istiqamət üçün açarlar, təhlükəsizlik parametri indeksi, alqoritm dəsti və seçici. Ömür bu vəziyyətin nə qədər istifadə oluna biləcəyini məhdudlaşdırır və bununla bir açarın nə qədər trafiki qoruduğunu sərhədləyir. Bu, açar üçün saxlama tədbiridir, istifadəçi sessiyasının nə qədər davam etməli olduğuna dair bəyanat deyil.

IKE nəzarət assosiasiyalarının öz açarları və öz ömürləri var; onlar məlumat daşıyan uşaq assosiasiyalarından ayrıdır. İnsanların iki cədvəli qarışdırdığı ilk yer elə burasıdır.

Yumşaq əvəzləməni başladır, sərt köhnə vəziyyəti bitirir

Yumşaq hədd yaxınlaşdıqda həmyaşıd əvəzləməyə başlayır. Tətbiqlər adətən bunu erkən işə salır və anı təsadüfiləşdirir ki, yüzlərlə tunel idarə edən baş qovşaq hamısını eyni anda yenidən açarlandırmasın. IKEv2-də əvəzləmə təzə nonce-lar daşıyan CREATE_CHILD_SA mübadiləsidir, tam irəli gizlilik qurulduqda isə Diffie-Hellman mübadiləsi də əlavə olunur. Nəticə yeni açarlarla yeni assosiasiya cütüdür.

Üst-üstə düşmə vacibdir. Qısa müddət ərzində həmyaşıd köhnə və yeni assosiasiyaları saxlaya bilər və paket tutumu iki identifikator dəsti göstərə bilər. Bu, mexanizmin işləməsidir, nasazlıq deyil.

Sərt hədd güzəştsizdir. Əgər əvəzləmə o vaxta qədər tamamlanmayıbsa, köhnə assosiasiya istismardan çıxarılmalıdır və yalnız onunla qorunan trafik dayanır. Sərt bitməyə qədər davam edən təkrar uğursuz açar yeniləmələri araşdırma üçün əməliyyat siqnalıdır, çünki tunel hər dövrədə bir son tarixlə ayaqda saxlanılır.

İstifadə hədləri istənilən saatdan əvvəl işə düşə bilər

Zaman yeganə sərhəd deyil. Tətbiqlər bir açarla qorunan baytları və ya paketləri məhdudlaşdıra bilər və məşğul tunel saatlarla davam edən taymerdən çox əvvəl istifadə həddinə çatacaq. strongSwan zaman, bayt və paket üçün ayrı ömür və marja parametrləri təqdim edir, yəni effektiv yeniləmə nöqtəsi hansı həddin birinci gəldiyinə bərabərdir, çıxılmış konfiqurasiya marjası ilə.

Tunel konfiqurasiya edilmiş saatların göstərdiyindən qat-qat tez-tez yenilənirsə, saatı günahlandırmadan əvvəl bayt və paket hədlərini yoxlayın. Eyni zaman parametrləri ilə doymuş xətt və boş xətt nəzərəçarpan dərəcədə fərqli açar yeniləmə sürətinə malik olacaq və onlardan yalnız biri taymerə uyğun gedir.

Hər həmyaşıd öz siyasətini tətbiq edir

IKEv2 hər iki həmyaşıdın eyni şəkildə göstərməli olduğu vahid ömür barədə razılığa gəlmir. Hər tərəf öz yerli siyasətini tətbiq edir və öz həddi yaxınlaşdıqda əvəzləməyə başlaya bilər, RFC 7296 bölmə 2.8-də təsvir olunduğu kimi. Buna görə iki həmyaşıdın konfiqurasiya edilmiş saatları arasındakı uyğunsuzluq avtomatik qüsur deyil, baxmayaraq ki, bir tərəf digərinin yenicə quraşdırdığı vəziyyəti davamlı əvəz edirsə, çox fərqli dəyərlər qarışıqlıq yarada bilər.

Koordinasiya uyğun davranış deməkdir: mübadilə üçün kifayət qədər uzun üst-üstə düşmə pəncərələri, təkrar cəhdlərə yer qoyan marjalar və hər yeniləməni hansı tərəfin başlatdığını göstərən monitorinq.

Açar yeniləmə yenidən autentifikasiya deyil

Açar yeniləmə mövcud autentifikasiya olunmuş əlaqə çərçivəsində açarları təzələyir. Yenidən autentifikasiya isə istər sertifikat mübadiləsi, istərsə də EAP söhbəti olsun, şəxsiyyət yoxlamasını təkrarlayır. İkisi ayrı cədvəllərlə işləyir və uğurlu açar yeniləmə hesabın hələ də girişə malik olmalı olub-olmadığı barədə heç nə demir.

Bu fərq ləğv üçün vacibdir. Hesabın söndürülməsi, sertifikatın ləğvi və ya sessiyanın bitirilməsi tətbiqdə açıq siyasət tələb edən giriş qərarlarıdır; onlar SA taymerindən irəli gəlmir və açar yeniləmə artıq səlahiyyətləri alınmış şəxsiyyət üçün rahatlıqla davam edə bilər.

Hər tunel üzrə nə qeyd etməli

Yeniləməni hansı assosiasiyanın tetiklədiyini, köhnə və yeni identifikatorları, hansı həddin işə düşdüyünü və əvəzləmənin üst-üstə düşmə içində tamamlanıb-tamamlanmadığını qeyd edin. Bu dörd sahə açar yeniləmə problemini kəsinti olmadan görünən edir və aqressiv siyasəti uğursuz siyasətdən ayırır.

Girişin silinməsi cədvəlini həmin qeydin içində deyil, yanında saxlayın. Kriptoqrafik gigiyena və şəxsiyyət siyasəti fərqli nəzarətlərdir və açarları vaxtında dəyişdirən tunel hələ də heç kimin saxlamaq istəmədiyi sessiyanı tuta bilər.