Wêrom in gruttere OpenVPN-kaai de werkaaitsjen-timer net fuorthellet

It kiezen fan AES-256 of in langere kaai seit neat oer hoe lang dy kaai brûkt wurde mei. Kaai-sterkte beskriuwt it algoritme; it werkaaitsje-belied beslút wannear't de sesje nij kaaimateriaal ôfliedt. In útrulling kin de sterkste beskikbere sifer kieze en dochs ferkeard wêze oer fernijing, om't de beide besluten op ferskillende plakken nommen wurde. Se trochinoar helje jout óf in ûnnedige siferferoaring óf in sesje dy't stil syn belied oerlibbet.

Lês de werkaaitsje-ynstellingen foardat jo de sifer oanreitsje, en lês beide kanten as jo dat dogge.

Kaai-sterkte en kaai-libben beantwurdzje ferskillende fragen

De sifer en kaai-grutte beheine hoe djoer in oanfal op ôflústerke ferkear wêze soe. It werkaaitsje-ynterval beheint hoefolle ferkear ien kaai beskermet en hoe lang in kompromittearre kaai brûkber bliuwt. Dat binne ûnôfhinklike knoppen, en in sterkere sifer ferlingt net de feilige libbensdoer fan in sesje. De measte rjochtlinen dy't sizze 'brûk AES-256' swije oer fernijing, om't fernijing in beliedsfraach is en gjin algoritmekeus.

Skriuw beide yn 'e útrullingsnotysjes: wat it datakanaal beskermet, en wat ferfanging fan syn kaaien útlokket.

Werkaaitsjen hat trije triggers, en beide kanten kinne se ôffjurje

OpenVPN 2.6 dokumintearret aparte triggers foar opnij ûnderhanneljen op basis fan bytes, pakketten en ferstrutsen tiid. De tiid-trigger is dejinge dy't de measte útrullingen op 'e standert lit, wat betsjut dat in stille tunnel dochs neffens skema werkaaitst. Beide kanten kinne de útwikseling begjinne, en de kant dy't it net begûn is folget. It feroarjen fan de timer oan ien kant fêststelt dus net it gedrach fan 'e sesje; de effektive wearde is fan 'e kant dy't earst begjint.

Byte- en pakket-triggers binne fan belang by ladingen mei hege trochstream of lytse pakketten, dêr't in belied op allinnich tiid ien kaai folle mear gegevens beskermje litte soe as bedoeld. As dy tellers útskeakele bliuwe, sis dat dan bewust yn 'e notysjes ynstee fan de standert ûnûndersocht te litten.

In werkaaitsjen leit de autentikaasjefloat bleat

Opnij ûnderhanneljen is in nije TLS-hantskieding, wat betsjut dat it autentikaasjepaad wer rint. Útrullingen mei ienmalige koades, hardware-tokens of in RADIUS-útdaging ûntdekke dat op 'e hurde manier: de earste ferbining wurket en de sesje stjert in oere letter as de twadde hantskieding om in koade freget dy't al brûkt is. auth-gen-token bestiet om dy kleau te oerbrêgjen troch de tsjinner in koartlibbend token foar opnij ûnderhanneljen útjaan te litten ynstee fan in nije ynteraktive oanmelding te easkjen.

Behannelje dat as in workflowprobleem om mei de operator op te lossen, net as bewiis dat fernijing útskeakele wurde moat.

Test fernijing ûnder lading, net yn in sesje fan ien minút

In akseptaasjetest dy't ferbynt, ien kear pinget en ôfbrekt berikt nea it werkaaitsjen. Rin in sesje lang genôch om de ynstelde trigger te passearjen, hâld in oerdracht trochgeand rinnen, en besjoch de logboeken fan beide kanten foar de nije hantskieding. Test dan it faalpaad: wat de klient docht as it opnij ûnderhanneljen net foltôge wurde kin. In tunnel dy't skjin falt is makliker te diagnostisearjen as ien dy't trochgiet mei stjoeren yn in deade sesje.

Lês in slagge grutte oerdracht net as bewiis fan in kryptografyske drompel. It lit allinnich sjen dat it paad en de tellers safolle ferkear oerlibbe hawwe.

Dokumintearje beide karren

It ferslach hat twa rigels nedich: hoe't pakketten beskerme wurde, en wannear't dy beskerming ferfongen wurdt. Foegje it foech foar elke wearde ta, om't de sifer út in distribúsjestândert komme kin wylst de timer út in yntern belied komt. In takomstige operator soe gjin fan beide út in konfiguraasjebestân ôfliede moatte.

As kompatibiliteit in útsûndering twingt, behein dy dan ta in ferzje en in einatum. In útsûndering dy't syn reden oerlibbet wurdt it belied dat nimmen him betinkt keazen te hawwen.