Επαναδιαπραγμάτευση κλειδιών, επανασύνδεση ή επανέλεγχος ταυτότητας: τι χρειάζεστε;

Μια συνεδρία που λειτουργεί εδώ και ώρες δεν θα κρατήσει τα ίδια κλειδιά για πάντα, και αυτό είναι σχεδιασμένο. Τρία διαφορετικά γεγονότα περιγράφονται ως περιστροφή κλειδιών: νέο υλικό συνεδρίας στο πλαίσιο υπάρχουσας συσχέτισης, πλήρης ανακατασκευή της σύνδεσης και επανάληψη του ελέγχου ταυτότητας. Κάθε ένα έχει διαφορετικό έναυσμα, διαφορετικό κόστος και διαφορετική υπογραφή αποτυχίας. Διαλέξτε το λάθος και η διόρθωση είτε δεν κάνει τίποτα είτε ρίχνει το τούνελ χωρίς λόγο.

Η απόφαση εξαρτάται από το ποιο επίπεδο έληξε πραγματικά.

Τρεις λειτουργίες που τις λένε περιστροφή

Η επαναδιαπραγμάτευση κλειδιών δημιουργεί νέα κλειδιά κίνησης μέσα στην υπάρχουσα σχέση ελέγχου, με τον μηχανισμό που ορίζει το πρωτόκολλο. Το IKEv2 το κάνει με νέα θυγατρική συσχέτιση ασφαλείας, το TLS 1.3 με μήνυμα ενημέρωσης κλειδιού και το WireGuard με νέα χειραψία μόλις φτάσει τα όρια χρόνου ή μηνυμάτων του. Οι διευθύνσεις του τούνελ και η πιστοποιημένη ταυτότητα μένουν εκεί που ήταν.

Η επανασύνδεση πετάει τη σύνδεση και τη χτίζει ξανά από την αρχή, κάτι που επαναλαμβάνει την ανάθεση διευθύνσεων, την εγκατάσταση διαδρομών και κάθε διαπραγμάτευση της πρώτης προσπάθειας.

Ο επανέλεγχος ταυτότητας επαναλαμβάνει την ίδια την απόδειξη ταυτότητας, που μπορεί να περιλαμβάνει διαπιστευτήριο, πιστοποιητικό ή δεύτερο παράγοντα. Μπορεί να γίνει με ή χωρίς επανασύνδεση, ανάλογα με το προϊόν.

Τι παρατηρούν οι χρήστες στην ανανέωση

Η επαναδιαπραγμάτευση κλειδιών πρέπει να είναι σχεδόν αόρατη. Τα αναγνωριστικά συσχέτισης αλλάζουν, οι μετρητές μπορεί να μηδενιστούν και οι εφαρμογές κρατούν τις υποδοχές τους· μια σύντομη παύση προς μία κατεύθυνση είναι φυσιολογική κατά την ανταλλαγή. Ένα νέο αναγνωριστικό σε λίστα κατάστασης δεν αποδεικνύει βλάβη. Η γραμμή καταγραφής μετά την ανταλλαγή είναι αυτή που σας λέει αν ολοκληρώθηκε.

Μια πραγματική διακοπή στην ανανέωση δείχνει κάπου συγκεκριμένα. Ασυμφωνία πρότασης, ληγμένο διαπιστευτήριο ή αλλαγή διαδρομής παράγει το καθένα διαφορετική γραμμή καταγραφής, και μόνο ένα από αυτά διορθώνεται ρυθμίζοντας τις διάρκειες ζωής.

Πού αποκλίνουν τα τρία στην πράξη

Αν το μόνο που έληξε είναι υλικό κλειδιού, κάντε επαναδιαπραγμάτευση. Αν άλλαξε η διεύθυνση του ομότιμου, η διαδρομή ή η σύνδεση NAT και τα πακέτα δεν φτάνουν πια, κάντε επανασύνδεση. Αν ο οργανισμός απαιτεί περιοδικό έλεγχο ταυτότητας, αυτό είναι επανέλεγχος και καμία ρύθμιση διάρκειας δεν τον αντικαθιστά.

Οι προεπιλογές των πρωτοκόλλων συνήθως κωδικοποιούν τη σωστή απάντηση. Το WireGuard αλλάζει κλειδιά μετά από όριο χρόνου και όγκου δεδομένων χωρίς ενέργεια του χρήστη· οι διάρκειες του IKEv2 διαπραγματεύονται ανά θυγατρική συσχέτιση· τα τούνελ με TLS περιστρέφουν κλειδιά μέσα στην υπάρχουσα συνεδρία. Το να ανεβάσετε τις διάρκειες για να αποφύγετε ένα επαναλαμβανόμενο σφάλμα αναβάλλει την αποτυχία και επιμηκύνει την έκθεση αν ένα κλειδί παραβιαστεί.

Μια επιφύλαξη μετράει για μεγάλες συνεδρίες: η συχνότητα από μόνη της δεν δημιουργεί εμπροσθοφυλαγμένη μυστικότητα. Η ιδιότητα εξαρτάται από το πώς τα κλειδιά συνεδρίας σχετίζονται με μακροπρόθεσμα μυστικά και από το αν τα παλιά κλειδιά καταστρέφονται, που είναι ζήτημα σχεδίασης και υλοποίησης, όχι ρύθμισης.

Επιλέξτε προεπιλογές και μετά καταγράψτε το στάδιο

Κρατήστε τις προεπιλογές του προμηθευτή εκτός αν μια τεκμηριωμένη απαίτηση λέει αλλιώς, και αλλάξτε τις διάρκειες και στα δύο άκρα αν τις αλλάξετε καθόλου. Μετά καταγράψτε σε ποιο στάδιο έφτασε κάθε γεγονός, ώστε η επόμενη εμφάνιση να ελεγχθεί στο ίδιο σημείο της χειραψίας.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Μετά από μια διόρθωση, εκτελέστε μια ελεγχόμενη ανανέωση και στείλτε νέα κίνηση εφαρμογών μέσα από τη νέα συσχέτιση. Ένα τούνελ που αναφέρει ότι έχει εγκατασταθεί αλλά δεν προωθεί τίποτα είναι η αποτυχία που υπάρχει για να πιάσει αυτός ο έλεγχος.