Zergatik eskatzen ditu VPN berrekonektak kredentzialak berriro
Gordetako pasahitz batek eta berrerabil daitekeen token batek egutegi ezberdinetan iraungitzen dute. Irakurri zein material eskatu zuen berrekonektak, bezeroan ezer aldatu aurretik.
Orduetan zehar funtzionatu zuen tunel batek pasahitza eskatzen du ordenagailu eramangarria esnatzen den unean, eta konfigurazioan ezer ez da aldatu. Aldatu dena berrekonektak berrerabiltzen saiatu zen kredentzialaren egoera da. Hiru material motak gobernatzen dute hori, eta horietako batek soilik bizirik irauten du edozein hutsuneren ondoren.
Irakurri bezeroak zein eskatu zuen, hirurak erloju ezberdinetan iraungitzen baitira eta mezu ezberdinekin huts egiten baitute.
Berrerabil daitekeen hiru material mota
Cachean gordetako pasahitza bezeroak duen sekretua da, eta baliozkoa izaten jarraitzen du kontuak aldatzen duen arte. Saio-tokena zerbitzariak ematen du saioa ondo hasi ondoren, bere bizitza propioa du eta edozein unetan baliogabe daiteke. TLS saio-txartel bat edo IKE segurtasun-elkartze bat protokolo-egoera da, berreskuratzeko merkea eta pasahitzarekiko erabat independentea. Bakoitza osagai ezberdin batek ematen du, eta bakoitza bere baldintzetan iraungitzen da.
Lehenak berrabiarazte bat gainditzen du, bigarrenak normalean esekitze bat gainditzen du, eta hirugarrenak agian ez du sare-aldaketa bat ere gaindituko. Hauek nahasteak konponketa okerra ematen du, adibidez inoiz baztertu ez zen pasahitz bat berrezartzea.
Abisu bera da diagnostikoa. Nabigatzaile-leiho batek edo bigarren faktoreko kode batek zerbitzariak autentifikazio interaktiboa eskatu zuela esan nahi du, eta abisurik gabeko hutsegite isilak bezeroa galdetzeko bezain urrun iritsi ez zela.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Giltzak berritzea ez da berautentifikazioa
Giltzen berritzeak giltzak ordezkatzen ditu autentifikatutako identitatea mantenduz, eta horregatik tunel osasuntsu batean isilik gertatzen da noizean behin. Berautentifikazioak identitate-egiaztapena bera errepikatzen du, eta horixe da zu behar zaituen gertaera. IKEv2-k biak espresuki bereizten ditu, eta pareko batek berautentifikazio osoa eskatu dezake ezarritako tarte batean, bitartean zenbat giltza-berritze gertatu ziren kontuan hartu gabe. Bi gertaerak berdinak dirudite kanpotik, erregistroak zein izendatzen duen irakurri arte.
OpenVPN modu berean jokatzen du bere hiztegi propioan: berriz negoziatzeko tarte batek datu-kanala freskatzen du, eta autentifikazio-token bat bezeroari itzul dakioke hurrengo konexioan saio-hasiera osoa saihesteko. Token horrek bizitza du, eta zerbitzariak erabakitzen du berriro onartu edo ez.
Beraz, zortzi ordu ondorengo berrekonekta huts egin dezake zortzi minutu ondorengo berrekonekta ondo atera zen tokian, bi aldeetan konfigurazio-aldaketarik egin gabe. Hori da bazkaldu ondoren soilik agertzen den abisu baten azalpen osoa.
Bezeroak erronka berria osatu ezin duenean
Nabigatzaile-pauso bat eskatzen duen politikak huts egingo du hori erakusteko modurik ez duen bezero batean. Bururik gabeko zerbitzariak, abiarazte-scriptak eta pasahitz-soileko autentifikaziorako eraikitako profil zaharrak horma horretan talka egiten dute, eta hutsegitea denbora-muga orokor gisa agertzen da sarritan, autentifikazio-errore gisa baino.
Gailu eta sare trantsizioak politikaren ebaluazio-leiho baten barruan ere gerta daitezke, beraz Wi-Fi-tik hotspot batera ibiltzeak bestela gertatuko zen egiaztapen batekin bat egiten du. Kointzidentziak sarea errudun itxura ematen dio arrazoia tenporizadorea denean.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Lehen lerroak berriz negoziatzeko eta autentifikatzeko gertaerak erakusten ditu bezeroaren beraren erregistroan, eta bigarrenak strongSwan pareko batek une honetan dituen segurtasun-elkarteak. Alderatu denbora-markak abisua agertu zen uneari; bat-etortzeak tenporizadorea baieztatzen du, ez sarea.
Zer jakinarazi eta zer ez desaktibatu
Eskuzko saio-hasiera batek ondo funtzionatzen badu eta berrerabilera automatikoak etengabe huts egiten badu, esan hori zehazki operadoreari. Osagaia izendatzen du: berrerabilera-bidea, ez kredentziala. Gehitu hutsegitearen ordua, erabili den kontua eta ikusi duzun abisu mota.
Ez desaktibatu bigarren faktorea, ez saltatu ziurtagiriaren balidazioa eta ez itsatsi kredentzialak script batean berrekonekta isildu dadin. Horietako bakoitzak politika betearazteko existitzen den egiaztapena kentzen du, eta bakoitzak saio-hasierako abisu bat gertakari bihurtzen du.
Eskatu horren ordez onartutako fluxua: erronka osatu dezakeen bezero bat, lanegunarekin bat datorren token-bizitza, edo galdetzeko gai ez den makinarentzat onartutako profil ez-interaktibo bat. Horiek guztiak norbaitek onar ditzakeen konfigurazio-erabakiak dira, eta irtenbide bat ez da hori.