Niyə daha böyük OpenVPN açarı yenidən açar yaradılması taymerini ləğv etmir

AES-256 və ya daha uzun açar seçmək o açarın nə qədər istifadə oluna biləcəyi barədə heç nə demir. Açar gücü alqoritmi təsvir edir; yenidən açar yaradılması siyasəti sessiyanın nə vaxt yeni açar materialı çıxaracağını müəyyən edir. Yerləşdirmə mövcud olan ən güclü şifrəni seçib yenə də yenilənmə barədə səhv edə bilər, çünki bu iki qərar fərqli yerlərdə verilir. Onları qarışdırmaq ya lazımsız şifrə dəyişikliyinə, ya da siyasətindən səssizcə uzun yaşayan sessiyaya gətirib çıxarır.

Şifrəyə toxunmadan əvvəl yenidən açar yaradılması parametrlərini oxuyun və bunu edərkən hər iki tərəfi oxuyun.

Açar gücü və açar ömrü fərqli suallara cavab verir

Şifrə və açar ölçüsü tutulmuş trafikə hücumun nə qədər baha olacağını müəyyən edir. Yenidən açar yaradılması intervalı bir açarın nə qədər trafiki qoruduğunu və kompromisə uğramış açarın nə qədər yararlı qaldığını müəyyən edir. Bunlar müstəqil düymələrdir və daha güclü şifrə sessiyanın təhlükəsiz ömrünü uzatmır. «AES-256 istifadə edin» deyən tövsiyələrin çoxu yenilənmə barədə susur, çünki yenilənmə alqoritm seçimi deyil, siyasət məsələsidir.

Hər ikisini yerləşdirmə qeydlərində yazın: məlumat kanalını nə qoruyur və onun açarlarının dəyişdirilməsini nə tetikləyir.

Yenidən açar yaradılmasının üç tetiki var və istənilən tərəf onları işə sala bilər

OpenVPN 2.6 bayt, paket və keçən vaxt əsasında yenidən danışıq üçün ayrı tetiklər sənədləşdirir. Vaxt tetiki əksər yerləşdirmələrin standart dəyərdə buraxdığı tetikdir, yəni sakit tunel də cədvəl üzrə açarı yeniləyir. Mübadiləni istənilən tərəf başlada bilər və başlatmayan tərəf onu izləyir. Buna görə taymeri bir tərəfdə dəyişmək sessiyanın davranışını təyin etmir; effektiv dəyər ilk başlayan tərəfin dəyəridir.

Bayt və paket tetikləri yüksək ötürmə qabiliyyətli və ya kiçik paketli yüklər üçün vacibdir; orada yalnız vaxta əsaslanan siyasət bir açarın nəzərdə tutulandan qat-qat çox məlumat qorumasına imkan verərdi. Bu sayğaclar söndürülü qalırsa, standart dəyəri yoxlamadan buraxmaq əvəzinə bunu qeydlərdə qəsdən qeyd edin.

Yenidən açar yaradılması autentifikasiya axınını üzə çıxarır

Yenidən danışıq yeni TLS əl sıxışmasıdır, yəni autentifikasiya yolu yenidən işləyir. Birdəfəlik kodlar, aparat tokenləri və ya RADIUS çağırışı istifadə edən yerləşdirmələr bunu çətin yolla öyrənir: ilk bağlantı işləyir və sessiya bir saat sonra ölür, çünki ikinci əl sıxışması artıq istifadə edilmiş kod tələb edir. auth-gen-token bu boşluğu bağlamaq üçün mövcuddur: server yeni interaktiv giriş tələb etmək əvəzinə yenidən danışıq üçün qısamüddətli token verə bilər.

Bunu yenilənmənin söndürülməsi lazım olduğuna dair sübut deyil, operatorla birlikdə həll ediləcək iş axını problemi kimi qəbul edin.

Yenilənməni yük altında sınayın, bir dəqiqəlik sessiyada deyil

Qoşulan, bir dəfə ping göndərən və ayrılan qəbul testi heç vaxt yenidən açar yaradılmasına çatmır. Konfiqurasiya edilmiş tetiki keçəcək qədər uzun sessiya işlədin, bu müddətdə ötürməni davam etdirin və yeni əl sıxışması üçün hər iki tərəfin jurnallarına baxın. Sonra uğursuzluq yolunu sınayın: yenidən danışıq tamamlana bilmirsə, klient nə edir. Təmiz düşən tunel ölü sessiyaya yazmağa davam edən tuneldən daha asan diaqnoz olunur.

Uğurlu böyük ötürməni kriptoqrafik həddin sübutu kimi oxumayın. O yalnız yolun və sayğacların bu qədər trafikə davam etdiyini göstərir.

Hər iki seçimi sənədləşdirin

Qeydə iki sətir lazımdır: paketlər necə qorunur və bu qoruma nə vaxt dəyişdirilir. Hər dəyər üçün səlahiyyəti əlavə edin, çünki şifrə distributiv standartından, taymer isə daxili siyasətdən gələ bilər. Gələcək operator bunların heç birini konfiqurasiya faylından çıxarmalı olmamalıdır.

Uyğunluq istisna tələb edirsə, onu versiya və bitmə tarixi ilə məhdudlaşdırın. Səbəbini yaşadan istisna heç kimin seçdiyini xatırlamadığı siyasətə çevrilir.