Per què una clau OpenVPN més gran no elimina el temporitzador de renovació

Triar AES-256 o una clau més llarga no diu res sobre quant de temps es pot fer servir aquesta clau. La força de la clau descriu l'algorisme; la política de renovació decideix quan la sessió deriva material de clau nou. Un desplegament pot triar el xifratge més fort disponible i tot i així equivocar-se en la renovació, perquè les dues decisions es prenen en llocs diferents. Confondre-les produeix o bé un canvi de xifratge innecessari o bé una sessió que sobreviu en silenci a la seva política.

Llegiu la configuració de renovació abans de tocar el xifratge, i llegiu tots dos extrems quan ho feu.

La força de la clau i la vida útil de la clau responen preguntes diferents

El xifratge i la mida de la clau limiten com de car seria un atac al trànsit capturat. L'interval de renovació limita quant trànsit protegeix una clau i quant de temps una clau compromesa continua sent útil. Són controls independents, i un xifratge més fort no allarga la vida segura d'una sessió. La majoria de guies que diuen 'feu servir AES-256' callen sobre la renovació, perquè renovar és una qüestió de política i no una tria d'algorisme.

Anoteu les dues coses a les notes de desplegament: què protegeix el canal de dades i què dispara la substitució de les seves claus.

La renovació té tres disparadors, i qualsevol dels dos extrems pot activar-los

OpenVPN 2.6 documenta disparadors separats per a la renegociació basats en bytes, paquets i temps transcorregut. El disparador de temps és el que la majoria de desplegaments deixen per defecte, cosa que significa que un túnel silenciós encara renova segons el calendari. Qualsevol extrem pot iniciar l'intercanvi, i l'extrem que no l'ha iniciat el segueix. Per tant, canviar el temporitzador en un costat no fixa el comportament de la sessió; el valor efectiu és el del costat que inicia primer.

Els disparadors per bytes i paquets importen en càrregues d'alt rendiment o de paquets petits, on una política només per temps deixaria que una clau protegís moltes més dades del previst. Si aquests comptadors queden desactivats, digueu-ho deliberadament a les notes en lloc de deixar el valor per defecte sense examinar.

Una renovació exposa el flux d'autenticació

Una renegociació és un nou intercanvi de claus TLS, cosa que significa que la ruta d'autenticació es torna a executar. Els desplegaments amb codis d'un sol ús, testimonis maquinari o un repte RADIUS ho descobreixen de la manera difícil: la primera connexió funciona i la sessió mor una hora després, quan el segon intercanvi demana un codi que ja s'ha utilitzat. auth-gen-token existeix per salvar aquest buit permetent que el servidor emeti un testimoni de curta durada per a la renegociació en lloc d'exigir un inici de sessió interactiu nou.

Tracteu-ho com un problema de flux de treball a resoldre amb l'operador, no com a prova que la renovació s'hagi de desactivar.

Proveu la renovació sota càrrega, no en una sessió d'un minut

Una prova d'acceptació que connecta, fa un ping i es desconnecta mai no arriba a la renovació. Executeu una sessió prou llarga per creuar el disparador configurat, manteniu una transferència en marxa durant tota la sessió i vigileu els registres dels dos extrems per veure el nou intercanvi. Després proveu el camí de fallada: què fa el client si la renegociació no es pot completar. Un túnel que cau net és més fàcil de diagnosticar que un que continua enviant cap a una sessió morta.

No llegiu una transferència gran correcta com a prova d'un llindar criptogràfic. Només mostra que la ruta i els comptadors han suportat aquell volum de trànsit.

Documenteu les dues tries

El registre necessita dues línies: com es protegeixen els paquets i quan es substitueix aquesta protecció. Afegiu l'autoritat de cada valor, perquè el xifratge pot venir d'un valor per defecte de la distribució mentre que el temporitzador ve d'una política interna. Un operador futur no hauria d'haver d'inferir cap dels dos a partir d'un fitxer de configuració.

Si la compatibilitat obliga a una excepció, limiteu-la a una versió i a una data de final. Una excepció que sobreviu a la seva raó es converteix en la política que ningú recorda haver triat.