SA-ի կյանքի տևողությունները IKEv2-ում. փափուկ բանալու թարմացում, կոշտ լրանալ, առանձին կրկնակի նույնականացում
Փափուկ սահմանը սկսում է փոխարինումը, կոշտ սահմանը դուրս է բերում հին վիճակը, և օգտագործման սահմանները կարող են գործել ավելի շուտ։ Դրանցից ոչ մեկը չի կրկնում օգտատիրոջ նույնականացումը։
Ժամաչափերը որոշում են, թե երբ են փոխարինվում թունելի բանալիները, և ներգրավված երկու շեմերը հաճախ կարդացվում են որպես մեկը։ Դրանք այդպիսին չեն։ Փափուկ կյանքի տևողությունը խնդրում է գործընկերոջը կառուցել փոխարինում, մինչ ընթացիկ անվտանգության միավորումը դեռ տեղափոխում է երթևեկություն, իսկ կոշտ տևողությունը այն ժամկետն է, որից հետո հին միավորումը վերանում է՝ անկախ նրանից աշխատե՞լ է փոխարինումը, թե՞ ոչ։ Նրանց միջև կա համընկնման պատուհան, որը գոյություն ունի, որպեսզի փաթեթները չընկնեն բացվածքի մեջ։
Ինչն է իրականում սահմանափակում տևողությունը
IPsec անվտանգության միավորումը գաղտնագրային վիճակի փաթեթ է՝ բանալիներ մեկ ուղղության համար, անվտանգության պարամետրերի ինդեքս, ալգորիթմների հավաքածու և ընտրիչ։ Տևողությունը սահմանափակում է, թե որքան ժամանակ կարելի է օգտագործել այդ վիճակը, ինչը սահմանափակում է, թե որքան երթևեկություն է պաշտպանում մեկ բանալին։ Սա բանալու զսպման միջոց է, ոչ թե հայտարարություն այն մասին, թե որքան պետք է տևի օգտատիրոջ նստաշրջանը։
IKE կառավարման միավորումներն ունեն իրենց բանալիները և իրենց տևողությունները՝ առանձին տվյալներ տեղափոխող դուստր միավորումներից։ Այստեղ են մարդիկ առաջին անգամ շփոթում երկու ժամանակացույց։
Փափուկը սկսում է փոխարինումը, կոշտը վերջացնում է հին վիճակը
Երբ փափուկ շեմը մոտենում է, գործընկերը սկսում է փոխարինում։ Իրականացումները սովորաբար գործարկվում են վաղ և պատահականացնում պահը, որպեսզի հարյուրավոր թունելներով հանգույցը միանգամից չթարմացնի բոլորի բանալիները։ IKEv2-ում փոխարինումը թարմ nonce կրող CREATE_CHILD_SA փոխանակում է, գումարած Diffie-Hellman փոխանակում, երբ կարգավորված է կատարյալ առաջընթաց գաղտնիություն։ Արդյունքը նոր բանալիներով նոր զույգ միավորումներն են։
Համընկնումը կարևոր է։ Կարճ ժամանակ գործընկերը կարող է պահել հին և նոր միավորումները, և գրառումը կարող է ցույց տալ նույնացուցիչների երկու հավաքածու։ Սա մեխանիզմի աշխատանքն է, ոչ թե անսարքություն։
Կոշտ շեմը չի ներում։ Եթե փոխարինումը մինչ այդ չի ավարտվել, հին միավորումը պետք է դուրս բերվի, և միայն դրանով պաշտպանված երթևեկությունը դադարում է։ Կրկնվող ձախողված բանալու թարմացումներ, որոնք հասնում են մինչև կոշտ լրանալը գործառնական ազդանշան են հետաքննության համար, քանի որ թունելը յուրաքանչյուր ցիկլում պահվում է ժամկետի վրա։
Օգտագործման սահմանները կարող են գործել ցանկացած ժամացույցից առաջ
Ժամանակը միակ սահմանը չէ։ Իրականացումները կարող են սահմանափակել մեկ բանալու պաշտպանած բայթերը կամ փաթեթները, և զբաղված թունելը կհասնի օգտագործման սահմանին շատ ավելի վաղ, քան ժամեր տևող ժամաչափը։ strongSwan-ը տրամադրում է առանձին տևողության և լուսանցքի կարգավորումներ ժամանակի, բայթերի և փաթեթների համար, այսինքն՝ արդյունավետ նորոգման կետը այն շեմն է, որն առաջինը կգա՝ հանած կարգավորված լուսանցքը։
Երբ թունելը նորոգվում է շատ ավելի հաճախ, քան հուշում են նրա կարգավորված ժամերը, ստուգեք բայթերի և փաթեթների սահմանները նախքան ժամացույցին մեղադրելը։ Նույն ժամանակի կարգավորումներով հագեցած կապը և անգործ կապը կունենան տեսանելիորեն տարբեր բանալու թարմացման արագություն, և նրանցից միայն մեկն է հետևում ժամաչափին։
Յուրաքանչյուր գործընկեր կիրառում է իր քաղաքականությունը
IKEv2-ը չի բանակցում մեկ տևողության շուրջ, որը երկու գործընկերներն էլ պետք է նույնությամբ ցուցադրեն։ Յուրաքանչյուր կողմ կիրառում է իր տեղական քաղաքականությունը և կարող է սկսել փոխարինում, երբ մոտենում է իր սահմանը, ինչպես նկարագրված է RFC 7296-ի 2.8 բաժնում։ Այսպիսով՝ երկու գործընկերների կարգավորված ժամերի միջև անհամապատասխանությունը ինքնաբերաբար թերություն չէ, թեև խիստ տարբեր արժեքները կարող են խառնաշփոթ առաջացնել, եթե մի կողմը շարունակաբար փոխարինում է վիճակը, որը մյուսը հենց նոր տեղադրել է։
Համակարգումը նշանակում է համատեղելի վարք՝ փոխանակման համար բավական երկար համընկնման պատուհաններ, լուսանցքներ, որոնք տեղ են թողնում կրկնակի փորձերի համար, և մշտադիտարկում, որը ցույց է տալիս, թե որ կողմն է սկսել յուրաքանչյուր նորոգում։
Բանալու թարմացումը կրկնակի նույնականացում չէ
Բանալու թարմացումը թարմացնում է բանալիները գոյություն ունեցող նույնականացված հարաբերության ներքո։ Կրկնակի նույնականացումը կրկնում է ինքնության ստուգումը՝ լինի դա վկայականի փոխանակում, թե EAP զրույց։ Երկուսն աշխատում են առանձին ժամանակացույցերով, և հաջող թարմացումը ոչինչ չի ասում այն մասին, թե արդյոք հաշիվը դեռ պետք է հասանելիություն ունենա։
Այս տարբերությունը կարևոր է չեղարկման համար։ Հաշիվն անջատելը, վկայականը չեղարկելը կամ նստաշրջանն ավարտելը հասանելիության որոշումներ են, որոնք իրականացման մեջ բացահայտ քաղաքականություն են պահանջում. դրանք չեն բխում SA ժամաչափից, և բանալու թարմացումը կարող է հանգիստ շարունակվել այն ինքնության համար, որն արդեն զրկված է իրավունքներից։
Ինչ գրանցել յուրաքանչյուր թունելի համար
Գրանցեք, թե որ միավորումն է հարուցել նորոգումը, հին և նոր նույնացուցիչները, որ շեմն է գործել և արդյոք փոխարինումն ավարտվել է համընկնման ներսում։ Այդ չորս դաշտերը թարմացման խնդիրը տեսանելի են դարձնում նախքան այն կդառնա ընդհատում, և տարբերում են ագրեսիվ քաղաքականությունը ձախողվողից։
Հասանելիության հեռացման ժամանակացույցը պահեք այդ գրառման կողքին, ոչ թե դրա ներսում։ Գաղտնագրային հիգիենան և ինքնության քաղաքականությունը տարբեր վերահսկիչներ են, և ժամանակին բանալիները պտտող թունելը դեռ կարող է պահել նստաշրջան, որը ոչ ոք չէր նախատեսում պահել։