Avaimen vaihto, uudelleenyhdistäminen vai uudelleentodennus: mitä tarvitset?
Avaimen vaihto vaihtaa istuntoavaimet, uudelleenyhdistäminen rakentaa yhteyden uudelleen ja uudelleentodennus toistaa identiteetin. Näiden sekoittaminen johtaa väärään korjaukseen.
Tunteja käynnissä ollut istunto ei pidä samoja avaimia ikuisesti, ja se on tarkoituksellista. Kolmea eri tapahtumaa kutsutaan avainten kierrätykseksi: uusi istuntomateriaali olemassa olevan assosiaation alla, yhteyden täydellinen uudelleenrakennus ja identiteettitarkistuksen toisto. Jokaisella on eri laukaisin, eri hinta ja eri vikakirjoitus. Valitse väärä, niin korjaus joko ei tee mitään tai kaataa tunnelin syyttä.
Päätös riippuu siitä, mikä kerros todella vanheni.
Kolme toimenpidettä, joita kutsutaan kierrätykseksi
Avaimen vaihto luo tuoreet liikenneavaimet olemassa olevan ohjaussuhteen sisällä käyttäen mekanismia, jonka protokolla määrittelee. IKEv2 tekee sen uudella lapsiturva-assosiaatiolla, TLS 1.3 avaimen päivitysviestillä ja WireGuard uudella kättelyllä, kun sen aika- tai viestirajat täyttyvät. Tunnelin osoitteet ja todennettu identiteetti pysyvät paikoillaan.
Uudelleenyhdistäminen hylkää yhteyden ja rakentaa sen uudelleen alusta, mikä toistaa osoitteiden jakamisen, reittien asennuksen ja kaiken ensimmäisen yrityksen käymän neuvottelun.
Uudelleentodennus toistaa itse identiteettitodistuksen, johon voi kuulua tunniste, varmenne tai toinen tekijä. Se voi tapahtua uudelleenyhdistämisen kanssa tai ilman sitä tuotteesta riippuen.
Mitä käyttäjät huomaavat uudistuksessa
Avaimen vaihdon pitäisi olla lähes näkymätön. Assosiaation tunnisteet muuttuvat, laskurit voivat nollautua ja sovellukset pitävät socketinsa; lyhyt tauko yhteen suuntaan on vaihdon aikana normaalia. Uusi tunniste tilaluettelossa ei ole todiste viasta. Vaihdon jälkeinen lokirivi kertoo, tuliko se valmiiksi.
Todellinen katko uudistuksessa osoittaa johonkin tiettyyn. Ehdotuksen yhteensopimattomuus, vanhentunut tunniste tai polun muutos tuottavat kukin eri lokirivin, ja vain yksi niistä korjataan elinikiä säätämällä.
Missä kolme eroavat käytännössä
Jos vain avainmateriaali on vanhentunut, vaihda avain. Jos vastapuolen osoite, reitti tai NAT-sidonta on muuttunut eivätkä paketit enää saavu, yhdistä uudelleen. Jos organisaatio vaatii säännöllisen identiteettitarkistuksen, se on uudelleentodennus, eikä mikään eliniän säätö korvaa sitä.
Protokollien oletusarvot sisältävät yleensä oikean vastauksen. WireGuard vaihtaa avaimet aika- ja datamääräkynnyksen jälkeen ilman käyttäjän toimia; IKEv2:n eliniät neuvotellaan assosiaatiokohtaisesti; TLS-pohjaiset tunnelit kierrättävät avaimia olemassa olevan istunnon sisällä. Elinikien nostaminen toistuvan virheen välttämiseksi lykkää vikaa ja pidentää altistumista, jos avain vaarantuu.
Yksi varaus on tärkeä pitkille istunnoille: pelkkä tiheys ei luo eteenpäin suuntautuvaa salaisuutta. Ominaisuus riippuu siitä, miten istuntoavaimet liittyvät pitkäaikaisiin salaisuuksiin ja tuhotaanko vanhat avaimet, mikä on suunnittelu- ja toteutuskysymys, ei asetus.
Valitse oletusarvot ja kirjaa sitten vaihe
Pidä toimittajan oletusarvot, ellei dokumentoitu vaatimus sano toisin, ja muuta elinikiä molemmilla puolilla, jos ylipäätään muutat. Kirjaa sitten, mihin vaiheeseen kukin tapahtuma pääsi, jotta seuraava tapaus voidaan tarkistaa samaa kättelyn kohtaa vasten.
swanctl --list-sas ip xfrm state | grep -E 'proto|replay-window' wg show journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'
Korjauksen jälkeen tee valvottu uudistus ja lähetä tuoretta sovellusliikennettä uuden assosiaation kautta. Tunneli, joka ilmoittaa olevansa pystyssä mutta ei välitä mitään, on se vika, jota tämä tarkistus on olemassa napatakseen.