Kulcscsere, újracsatlakozás vagy újrahitelesítés: melyikre van szüksége?

Egy órák óta futó munkamenet nem tartja meg ugyanazokat a kulcsokat örökké, és ez szándékos. Három különböző eseményt neveznek kulcsrotációnak: új munkamenet-anyag egy meglévő társítás alatt, a kapcsolat teljes újjáépítése és az identitásellenőrzés megismétlése. Mindegyiknek más a kiváltója, más a költsége és más a hiba-aláírása. Ha rosszat választ, a javítás vagy semmit nem tesz, vagy ok nélkül ledobja az alagutat.

A döntés attól függ, melyik réteg járt le valójában.

Három művelet, amit rotációnak neveznek

A kulcscsere friss forgalmi kulcsokat hoz létre a meglévő vezérlési kapcsolaton belül, a protokoll által meghatározott mechanizmussal. Az IKEv2 ezt új gyermek biztonsági társítással teszi, a TLS 1.3 kulcsfrissítési üzenettel, a WireGuard pedig új kézfogással, amint eléri idő- vagy üzenethatárait. Az alagút címkéi és a hitelesített identitás a helyükön maradnak.

Az újracsatlakozás eldobja a kapcsolatot, és elölről építi fel, ami megismétli a címkiosztást, az útvonalak telepítését és az első kísérlet minden egyeztetését.

Az újrahitelesítés magát az identitásbizonyítást ismétli meg, ami tartalmazhat hitelesítő adatot, tanúsítványt vagy második tényezőt. Történhet újracsatlakozással vagy anélkül, a terméktől függően.

Mit vesznek észre a felhasználók a megújításkor

A kulcscserének szinte láthatatlannak kell lennie. A társítás-azonosítók változnak, a számlálók nullázódhatnak, az alkalmazások pedig megtartják a socketjeiket; egy rövid szünet az egyik irányban normális a csere alatt. Egy új azonosító látványa egy állapotlistában nem hiba bizonyítéka. A cserét követő naplósor mondja meg, befejeződött-e.

A megújítás valódi megszakadása konkrét helyre mutat. Az ajánlat eltérése, a lejárt hitelesítő adat vagy az útvonal változása mind más naplósort ad, és ezek közül csak egyet orvosol az élettartamok állítása.

Ahol a három a gyakorlatban elválik

Ha csak a kulcsanyag járt le, végezzen kulcscserét. Ha a partner címe, az útvonal vagy a NAT-kötés változott, és a csomagok már nem érkeznek meg, csatlakozzon újra. Ha a szervezet rendszeres identitásellenőrzést ír elő, az újrahitelesítés, és semmilyen élettartam-állítás nem helyettesíti.

A protokollok alapértékei általában a helyes választ kódolják. A WireGuard idő- és adatmennyiség-küszöb után cserél kulcsot, felhasználói művelet nélkül; az IKEv2 élettartamai gyermek társításonként egyeztetettek; a TLS-alapú alagutak a meglévő munkameneten belül rotálják a kulcsokat. Az élettartamok növelése egy visszatérő hiba elkerülésére elhalasztja a hibát, és meghosszabbítja a kitettséget, ha egy kulcs kompromittálódik.

Egy fenntartás fontos a hosszú munkameneteknél: az önmagában vett gyakoriság nem hoz létre előrehaladó titoktartást. A tulajdonság attól függ, hogyan viszonyulnak a munkamenet-kulcsok a hosszú távú titkokhoz, és hogy megsemmisítik-e a régi kulcsokat, ami tervezési és megvalósítási kérdés, nem beállítás.

Válasszon alapértékeket, majd rögzítse a szakaszt

Tartsa meg a szállító alapértékeit, hacsak dokumentált követelmény mást nem ír elő, és ha egyáltalán változtat az élettartamokon, mindkét oldalon változtassa meg. Ezután rögzítse, melyik szakaszig jutott az egyes esemény, hogy a következő előfordulás ugyanahhoz a kézfogás-ponthoz legyen ellenőrizhető.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Javítás után végezzen ellenőrzött megújítást, és küldjön friss alkalmazásforgalmat az új társításon. Az az alagút, amely telepítettnek jelenti magát, de nem továbbít semmit, az a hiba, amelynek elkapására ez az ellenőrzés létezik.