Pam nad yw allwedd OpenVPN fwy yn cael gwared ar yr amserydd ail-allweddu

Nid yw dewis AES-256 neu allwedd hirach yn dweud dim am ba mor hir y gellir defnyddio'r allwedd honno. Mae cryfder allwedd yn disgrifio'r algorithm; mae'r polisi ail-allweddu yn penderfynu pryd y bydd y sesiwn yn deillio deunydd allwedd newydd. Gall defnydd osod y seiffr cryfaf sydd ar gael ac eto fod yn anghywir am adnewyddu, oherwydd gwneir y ddau benderfyniad mewn gwahanol leoedd. Mae eu cymysgu yn cynhyrchu naill ai newid seiffr diangen neu sesiwn sy'n byw yn dawel y tu hwnt i'w pholisi.

Darllenwch y gosodiadau ail-allweddu cyn cyffwrdd â'r seiffr, a darllenwch y ddau gyfoed pan fyddwch yn gwneud hynny.

Mae cryfder allwedd ac oes allwedd yn ateb gwahanol gwestiynau

Mae'r seiffr a maint yr allwedd yn pennu pa mor gostus fyddai ymosodiad ar draffig a ddelir. Mae'r cyfwng ail-allweddu yn pennu faint o draffig y mae un allwedd yn ei amddiffyn a pha mor hir y mae allwedd gyfaddawd yn parhau'n ddefnyddiol. Mae'r rhain yn reolyddion annibynnol, ac nid yw seiffr cryfach yn ymestyn oes ddiogel sesiwn. Mae'r rhan fwyaf o ganllawiau sy'n dweud 'defnyddiwch AES-256' yn dawel am adnewyddu, oherwydd mater polisi yw adnewyddu yn hytrach na dewis algorithm.

Cofnodwch y ddau yn nodiadau'r defnydd: beth sy'n amddiffyn y sianel ddata, a beth sy'n sbarduno disodli ei hallweddau.

Mae gan ail-allweddu dri sbardun, a gall y naill gyfoed neu'r llall eu tanio

OpenVPN 2.6 yn dogfennu sbardunau ar wahân ar gyfer ail-negodi yn seiliedig ar feitiau, pecynnau ac amser a aeth heibio. Y sbardun amser yw'r un y mae'r rhan fwyaf o ddefnyddau yn ei adael ar y rhagosodiad, sy'n golygu bod twnnel tawel yn dal i ail-allweddu ar amserlen. Gall naill gyfoed ddechrau'r cyfnewid, ac mae'r cyfoed na chychwynnodd yn dilyn. Felly nid yw newid yr amserydd ar un ochr yn gosod ymddygiad y sesiwn; y gwerth effeithiol yw ochr y cyfoed sy'n cychwyn gyntaf.

Mae sbardunau beit a phecyn yn bwysig ar gyfer llwythi thrwpt uchel neu becynnau bach, lle byddai polisi amser yn unig yn gadael i un allwedd amddiffyn llawer mwy o ddata nag a fwriadwyd. Os yw'r rhifyddion hynny'n aros wedi'u diffodd, dywedwch hynny'n fwriadol yn y nodiadau yn lle gadael y rhagosodiad heb ei archwilio.

Mae ail-allweddu yn datgelu'r llif dilysu

Mae ail-negodi yn handshake TLS newydd, sy'n golygu bod y llwybr dilysu yn rhedeg eto. Mae defnyddau sy'n defnyddio codau untro, tocynnau caledwedd neu her RADIUS yn darganfod hyn y ffordd galed: mae'r cysylltiad cyntaf yn gweithio ac mae'r sesiwn yn marw awr yn ddiweddarach pan fydd yr ail handshake yn gofyn am god sydd eisoes wedi'i ddefnyddio. auth-gen-token yn bodoli i lenwi'r bwlch hwnnw drwy ganiatáu i'r gweinydd gyhoeddi tocyn byrdymor ar gyfer ail-negodi yn lle mynnu mewngofnodi rhyngweithiol newydd.

Triniwch hyn fel problem llif gwaith i'w datrys gyda'r gweithredwr, nid fel tystiolaeth y dylid diffodd adnewyddu.

Profwch adnewyddu dan lwyth, nid mewn sesiwn munud o hyd

Nid yw prawf derbyn sy'n cysylltu, yn pingio unwaith ac yn datgysylltu byth yn cyrraedd yr ail-allweddu. Rhedwch sesiwn yn ddigon hir i groesi'r sbardun a ffurfweddwyd, cadwch drosglwyddiad yn rhedeg drwyddi, a gwyliwch logiau'r ddau gyfoed am yr handshake newydd. Yna profwch y llwybr methiant: beth mae'r cleient yn ei wneud os na ellir cwblhau'r ail-negodi. Mae twnnel sy'n disgyn yn lân yn haws i'w ddiagnosio na'r un sy'n parhau i anfon i sesiwn farw.

Peidiwch â darllen trosglwyddiad mawr llwyddiannus fel prawf trothwy cryptograffig. Dim ond dangos y mae bod y llwybr a'r rhifyddion wedi goroesi cymaint â hynny o draffig.

Dogfennwch y ddau ddewis

Mae ar y cofnod angen dwy linell: sut mae pecynnau'n cael eu hamddiffyn, a phryd y caiff yr amddiffyniad hwnnw ei ddisodli. Ychwanegwch awdurdod ar gyfer pob gwerth, oherwydd gall y seiffr ddod o ragosodiad dosbarthiad tra bod yr amserydd yn dod o bolisi mewnol. Ni ddylai gweithredwr yn y dyfodol orfod casglu'r naill na'r llall o ffeil ffurfweddu.

Os yw cydnawsedd yn gorfodi eithriad, cwmpaswch ef i fersiwn a dyddiad dod i ben. Mae eithriad sy'n byw y tu hwnt i'w reswm yn dod yn bolisi nad oes neb yn cofio ei ddewis.