Por que unha clave OpenVPN máis longa non elimina o temporizador de renovación

Escoller AES-256 ou unha clave máis longa non di nada sobre canto tempo se pode usar esa clave. A forza da clave describe o algoritmo; a política de renovación decide cando a sesión deriva material de clave novo. Unha implantación pode escoller o cifrado máis forte dispoñible e aínda así equivocarse coa renovación, porque as dúas decisións tómanse en lugares distintos. Confundilas produce un cambio de cifrado innecesario ou unha sesión que sobrevive en silencio á súa política.

Lea a configuración de renovación antes de tocar o cifrado, e lea os dous extremos cando o faga.

A forza da clave e a vida útil da clave responden preguntas distintas

O cifrado e o tamaño da clave limitan canto custaría un ataque ao tráfico capturado. O intervalo de renovación limita canto tráfico protexe unha clave e canto tempo unha clave comprometida segue sendo útil. Son controis independentes, e un cifrado máis forte non alarga a vida segura dunha sesión. A maioría das guías que din 'use AES-256' calan sobre a renovación, porque renovar é unha cuestión de política e non unha escolla de algoritmo.

Anote as dúas cousas nas notas de implantación: que protexe a canle de datos e que dispara a substitución das súas claves.

A renovación ten tres disparadores, e calquera dos dous extremos pode activalos

OpenVPN 2.6 documenta disparadores separados para a renegociación baseados en bytes, paquetes e tempo transcorrido. O disparador de tempo é o que a maioría das implantacións deixan por defecto, o que significa que un túnel silencioso igualmente renova segundo o calendario. Calquera dos extremos pode iniciar o intercambio, e o extremo que non o iniciou séguoo. Por iso cambiar o temporizador nun lado non fixa o comportamento da sesión; o valor efectivo é o do lado que inicia primeiro.

Os disparadores por bytes e paquetes importan en cargas de alto rendemento ou de paquetes pequenos, onde unha política só por tempo deixaría que unha clave protexese moitos máis datos do previsto. Se eses contadores quedan desactivados, dígao deliberadamente nas notas en lugar de deixar o valor por defecto sen examinar.

Unha renovación expón o fluxo de autenticación

Unha renegociación é un novo handshake TLS, o que significa que a ruta de autenticación se executa outra vez. As implantacións con códigos dun só uso, tokens de hardware ou un reto RADIUS descóbreno do xeito difícil: a primeira conexión funciona e a sesión morre unha hora despois, cando o segundo handshake pide un código que xa se usou. auth-gen-token existe para salvar esa fenda permitindo que o servidor emita un token de curta duración para a renegociación en lugar de esixir un novo inicio de sesión interactivo.

Tráteo como un problema de fluxo de traballo que hai que resolver co operador, non como proba de que a renovación deba desactivarse.

Probe a renovación baixo carga, non nunha sesión dun minuto

Unha proba de aceptación que conecta, fai un ping unha vez e desconecta nunca chega á renovación. Execute unha sesión o bastante longa para cruzar o disparador configurado, manteña unha transferencia en marcha durante toda ela e vixíe os rexistros dos dous extremos para ver o novo handshake. Despois probe a ruta de fallo: que fai o cliente se a renegociación non se pode completar. Un túnel que cae limpiamente é máis fácil de diagnosticar ca un que segue enviando cara a unha sesión morta.

Non lea unha transferencia grande exitosa como proba dun limiar criptográfico. Só mostra que a ruta e os contadores soportaron ese volume de tráfico.

Documente as dúas escollas

O rexistro necesita dúas liñas: como se protexen os paquetes e cando se substitúe esa protección. Engada a autoridade de cada valor, porque o cifrado pode vir dun valor por defecto da distribución mentres que o temporizador vén dunha política interna. Un operador futuro non debería ter que inferir ningún dos dous desde un ficheiro de configuración.

Se a compatibilidade obriga a unha excepción, delimítea a unha versión e a unha data de fin. Unha excepción que sobrevive á súa razón convértese na política que ninguén lembra ter escollido.