Wêrom fersifering allinne in opnij spile pakket net tsjinhâldt

Bescherme pakketten ferrinne kryptografysk net, dus ien dy’t fiif minuten lyn jildich wie, is no noch jildich, om’t fersifering en yntegriteitsbeskerming neat sizze oer wannear’t de bytes makke binne. In oanfalder dy’t ferkear opfange en opnij stjoere kin, hoecht it sifer net te brekken. Dêrom draacht elk serieus tunnelprotokol sekwinsjestatus njonken syn kaaien.

It meganisme is lyts, en syn steuringmodi wurde maklik betize mei pakketferlies.

Jildige sifertaal is gjin frisse sifertaal

Autentikaasje beantwurdet ien fraach: kamen dizze bytes ûnferoare fan ien dy’t de kaai hat. It beantwurdet net oft de ûntfanger se foar it earst sjocht. In opnij spile pakket slagget perfekt foar de earste test, en dêrom krekt kin yntegriteitskontrôle allinne gjin werhelling tsjinhâlde en dêrom hat it protokol in twadde regel oer akseptaasje nedich. In ûntfanger dy’t allinne autentisearret, hat gjin ferdigening tsjin in oanfalder mei in opname.

Dy regel is goedkeap te ymplementearjen en goedkeap te ferwurdzjen: akseptearje in bepaald bescherme pakket ien kear, ûnder in bepaalde kaai. Al it oare op dit mêd folget út hoe’t de ymplemintaasje dy iene kear byhâldt.

In werhellingsôfwizing lêze as in ûntsiferingsflater stjoert dy nei it folslein ferkearde subsystem.

In sekwinsjenûmer en in finster

IPsec ESP draacht in sekwinsjenûmer en de ûntfanger hâldt in skowend finster fan koartlyn akseptearre wearden, wylst de ESP-spesifikaasje de standertfinstergrutte en de opsje om dy út te wreidzjen beskriuwt. WireGuard folget in oare rûte mei in teller per kaai en in eksplisite kontrôle dêroan. Gjin fan beide ûntwerpen nimt oan dat pakketten yn folchoarder komme, om’t echte netwurken se weroarderje. Beide tolerearje weroardering, en gjin fan beide tolereart werhelling.

It finster is wat dy tolerânsje mooglik makket. In pakket dat wat efter de heechste sjoene wearde sit, kin noch akseptearre wurde as it net earder akseptearre is; ien fier efter, of ien waans plak al markearre is, wurdt weilitten. Fergrutsje it finster en do fernearest mear weroardering tsjin de kosten fan mear status per assosjaasje.

Diagnostyske tellers litte dy sjen yn hokker gefal do sitst. Werhellingsôfwizings ferheegje in spesifike teller ynstee fan in algemiene flater, en it lêzen fan dy teller is de earste nuttige observaasje.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Status heart by de kaai, net by de host

Tellstatus is bûn oan in feilichheidsassosjaasje of oan in kaai-epoke, dus in kaaiwiksel makket in frisse kontekst en syn eigen sekwinsjeromte. In teller skjinmeitsje sûnder de kaai te ferfangen, of in assosjaasje werjaan nei in hânmjittige weromset, brekt de oanname dêr’t it finster fan de ûntfanger op stiet. Dêrom bestiet protokolbestjoerde kaaiwiksel ynstee fan in weromsetknop dy’t de operator sjocht.

As in tunnel him nei in hânmjittige yngreep ferkeard hâldt, freegje dan oft de yngreep de sekwinsjestatus rekke hat. In konfiguraasje dy’t itselde liket, kin him oars hâlde om’t de status dy’t er erve hat, net de status is dy’t er ferwachtet.

Diagnostisearje de oarsaak foardat do eat útskeakelest

Ferlies, weroardering, dûbele ferkear en in ymplemintaasjeflater komme allegear as werstjoeringen foar it ljocht, en mar ien fan har is in werhellingsprobleem. De kontrôle útskeakelje om lûd te dempen hellet de eigenskip fuort dêr’t do op boude en makket de oarspronklike oarsaak hurder te finen, om’t de werstjoeringen no hielendal gjin ferklearring hawwe.

Fersamje beheind bewiis: assosjaasje-identifikaasjes, sekwinsjenûmers en tellers, sûnder de ladingen. Dat is genôch om in dûbel fan in weroardere oankomst te ûnderskieden, en it makket dyn diagnostyske bestân net ta in kopy fan it ferkear fan de brûker.

Wat de kontrôle net ûnthjit

Beskerming tsjin werhelling is in eigenskip fan pakketferwurking binnen ien protokol. It betsjut net dat de operator gjin logboeken hâldt, dat in website gjin akkount werkenne kin of dat in sesje anonym is. Dat binne aparte fragen oer aparte systemen, en in sterk anty-werhellingsûntwerp beantwurdet gjinien fan har.

Underhâlden software mei stipe ynstellings is de praktyske kontrôle dy’t in brûker hat. It protokol behannelet it pakket; al it oare bliuwt in operasjonele beslissing.