Trajanje SA u IKEv2: meko obnavljanje ključeva, tvrdi istek, odvojena ponovna autentifikacija

Tajmeri odlučuju kada se ključevi tunela zamjenjuju, a dva uključena praga često se čitaju kao jedan. Nisu. Meki životni vijek traži od partnera da izgradi zamjenu dok trenutna sigurnosna asocijacija još nosi promet, a tvrdi životni vijek je rok nakon kojeg stara asocijacija nestaje, bez obzira na to je li zamjena uspjela. Između njih stoji prozor preklapanja koji postoji da paketi ne bi pali u prazninu.

Šta životni vijek zapravo ograničava

IPsec sigurnosna asocijacija je snop kriptografskog stanja: ključevi za jedan smjer, indeks sigurnosnih parametara, skup algoritama i selektor. Životni vijek ograničava koliko dugo se to stanje smije koristiti, što ograničava koliko prometa jedan ključ štiti. To je mjera zadržavanja za ključ, a ne tvrdnja o tome koliko dugo bi korisnička sesija trebala trajati.

IKE kontrolne asocijacije imaju vlastite ključeve i vlastite životne vijekove, odvojene od podređenih asocijacija koje nose podatke. To je prvo mjesto gdje ljudi brkaju dva rasporeda.

Meko pokreće zamjenu, tvrdo završava staro stanje

Kada se meki prag približi, partner pokreće zamjenu. Implementacije obično djeluju rano i randomiziraju trenutak kako glavno čvorište sa stotinama tunela ne bi obnovilo ključeve svih odjednom. U IKEv2 zamjena je razmjena CREATE_CHILD_SA s novim nonce vrijednostima, plus razmjena Diffie-Hellman kada je konfigurirana savršena prosljeđena tajnost. Rezultat je novi par asocijacija s novim ključevima.

Preklapanje je važno. Kratko vrijeme partner može držati staru i novu asocijaciju, a snimak prometa može pokazati dva skupa identifikatora. To je mehanizam koji radi, a ne kvar.

Tvrdi prag ne prašta. Ako zamjena do tada nije dovršena, stara asocijacija se mora povući i promet koji je samo ona štitila prestaje. Ponovljena neuspjela obnavljanja ključeva koja idu sve do tvrdog isteka operativni su signal za istragu, jer se tunel svakim ciklusom drži na roku.

Ograničenja upotrebe mogu djelovati prije bilo kojeg sata

Vrijeme nije jedina granica. Implementacije mogu ograničiti bajtove ili pakete koje štiti jedan ključ, a zauzet tunel će dosegnuti ograničenje upotrebe mnogo prije višesatnog tajmera. strongSwan nudi odvojene postavke životnog vijeka i margine za vrijeme, bajtove i pakete, što znači da je stvarna točka obnove onaj prag koji prvi stigne, umanjen za konfiguriranu marginu.

Kada se tunel obnavlja mnogo češće nego što sugeriraju njegovi konfigurirani sati, provjerite ograničenja bajtova i paketa prije nego okrivite sat. Zasićena veza i neaktivna veza s istim vremenskim postavkama imat će vidljivo različite stope obnavljanja ključeva, a samo jedna od njih slijedi tajmer.

Svaki partner provodi vlastitu politiku

IKEv2 ne pregovara o jednom trajanju koje oba partnera moraju prikazati identično. Svaka strana primjenjuje svoju lokalnu politiku i može pokrenuti zamjenu kada se približi njezin vlastiti limit, kako je opisano u RFC 7296 odjeljak 2.8. Zato nesklad između konfiguriranih sati dvaju partnera nije automatski nedostatak, iako vrlo različite vrijednosti mogu izazvati vrćenje ako jedna strana stalno zamjenjuje stanje koje je druga upravo instalirala.

Koordinacija znači kompatibilno ponašanje: prozore preklapanja dovoljno duge za razmjenu, margine koje ostavljaju prostor za ponovne pokušaje i nadzor koji pokazuje koja je strana pokrenula svaku obnovu.

Obnavljanje ključeva nije ponovna autentifikacija

Obnavljanje ključeva osvježava ključeve unutar postojećeg autentificiranog odnosa. Ponovna autentifikacija ponavlja provjeru identiteta, bilo da je riječ o razmjeni certifikata ili razgovoru EAP. Dvije stvari rade po odvojenim rasporedima i uspješno obnavljanje ne govori ništa o tome treba li račun još imati pristup.

Ta razlika je važna za opoziv. Deaktiviranje računa, opoziv certifikata ili prekid sesije odluke su o pristupu koje zahtijevaju izričitu politiku u implementaciji; one ne proizlaze iz SA tajmera, a obnavljanje ključeva može mirno trajati za identitet koji je već lišen prava.

Šta bilježiti po tunelu

Zabilježite koja je asocijacija pokrenula obnovu, stare i nove identifikatore, koji je prag djelovao i je li zamjena dovršena unutar preklapanja. Ta četiri polja čine problem obnavljanja vidljivim prije nego što postane prekid rada i razlikuju agresivnu politiku od one koja ne uspijeva.

Držite raspored ukidanja pristupa uz taj zapis, a ne u njemu. Kriptografska higijena i politika identiteta različite su kontrole, a tunel koji pravovremeno mijenja ključeve još uvijek može držati sesiju koju nitko nije namjeravao zadržati.