Ponovna razmjena ključa, ponovno povezivanje ili ponovna autentifikacija: što vam treba?

Sesija koja radi satima neće zauvijek zadržati iste ključeve i to je namjerno. Tri različita događaja nazivaju se rotacijom ključeva: novi sesijski materijal pod postojećom asocijacijom, potpuna obnova veze i ponavljanje provjere identiteta. Svaki ima drugačiji okidač, drugačiju cijenu i drugačiji potpis kvara. Odaberete li pogrešan, popravak ili ne radi ništa ili bez razloga ruši tunel.

Odluka ovisi o tome koji je sloj stvarno istekao.

Tri operacije koje nazivaju rotacijom

Ponovna razmjena ključa stvara nove prometne ključeve unutar postojećeg kontrolnog odnosa, koristeći mehanizam koji protokol definira. IKEv2 to čini novom podređenom sigurnosnom asocijacijom, TLS 1.3 porukom za ažuriranje ključa, a WireGuard novim rukovanjem kad dosegne svoja vremenska ili porukovna ograničenja. Adrese tunela i autentificirani identitet ostaju gdje su bili.

Ponovno povezivanje odbacuje vezu i gradi je iznova od početka, što ponavlja dodjelu adresa, instalaciju ruta i svako pregovaranje koje je izveo prvi pokušaj.

Ponovna autentifikacija ponavlja sam dokaz identiteta, što može uključivati vjerodajnicu, certifikat ili drugi faktor. Može se dogoditi s ponovnim povezivanjem ili bez njega, ovisno o proizvodu.

Što korisnici primijete pri obnovi

Ponovna razmjena ključa trebala bi biti gotovo nevidljiva. Identifikatori asocijacije se mijenjaju, brojači se mogu resetirati, a aplikacije zadržavaju svoje sockete; kratka stanka u jednom smjeru normalna je tijekom razmjene. Novi identifikator na popisu stanja nije dokaz kvara. Linija zapisa koja slijedi nakon razmjene govori vam je li završila.

Stvarni prekid pri obnovi upućuje na nešto konkretno. Neusklađenost prijedloga, istekla vjerodajnica ili promjena putanje svaki daje drugačiju liniju zapisa, i samo se jedan od njih popravlja podešavanjem trajanja.

Gdje se tri razilaze u praksi

Ako je istekao samo ključni materijal, ponovno razmijenite ključ. Ako su se adresa partnera, ruta ili NAT veza promijenili i paketi više ne dolaze, ponovno se povežite. Ako organizacija zahtijeva periodičnu provjeru identiteta, to je ponovna autentifikacija i nikakvo podešavanje trajanja je ne zamjenjuje.

Zadane vrijednosti protokola obično sadrže točan odgovor. WireGuard ponovno razmjenjuje ključ nakon vremenskog i podatkovnog praga bez ikakve radnje korisnika; trajanja IKEv2 pregovaraju se za svaku podređenu asocijaciju; tuneli zasnovani na TLS-u rotiraju ključeve unutar postojeće sesije. Podizanje trajanja da bi se izbjegla ponavljajuća greška odgađa kvar i produljuje izloženost ako ključ bude kompromitiran.

Jedna napomena važna je za duge sesije: sama učestalost ne stvara forward secrecy. Svojstvo ovisi o tome kako su sesijski ključevi povezani s dugoročnim tajnama i uništavaju li se stari ključevi, što je pitanje dizajna i implementacije, a ne postavke.

Odaberite zadane vrijednosti, zatim zabilježite fazu

Zadržite zadane vrijednosti dobavljača osim ako dokumentirani zahtjev ne kaže drukčije, i promijenite trajanja na oba partnera ako ih uopće mijenjate. Zatim zabilježite do koje je faze svaki događaj stigao, kako bi se sljedeći slučaj mogao provjeriti prema istoj točki rukovanja.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Nakon ispravka izvedite kontroliranu obnovu i pošaljite svježi promet aplikacija kroz novu asocijaciju. Tunel koji izvještava da je uspostavljen ali ništa ne prosljeđuje jest kvar zbog kojeg ova provjera postoji.