Rekey, sambung ulang, atau autentikasi ulang: mana yang Anda butuhkan?

Sesi yang sudah aktif berjam-jam tidak akan mempertahankan kunci yang sama selamanya, dan itu memang disengaja. Tiga peristiwa berbeda disebut sebagai rotasi kunci: materi sesi baru di bawah asosiasi yang sudah ada, pembangunan ulang koneksi secara penuh, dan pengulangan pemeriksaan identitas. Masing-masing punya pemicu, biaya, dan tanda kegagalan yang berbeda. Pilih yang salah dan perbaikannya entah tidak melakukan apa pun atau menjatuhkan terowongan tanpa alasan.

Keputusan bergantung pada lapisan mana yang benar-benar kedaluwarsa.

Tiga operasi yang disebut rotasi

Rekey membuat kunci lalu lintas baru di dalam hubungan kontrol yang ada, memakai mekanisme yang didefinisikan protokol. IKEv2 melakukannya dengan asosiasi keamanan anak baru, TLS 1.3 dengan pesan pembaruan kunci, dan WireGuard dengan jabat tangan baru saat batas waktu atau pesannya tercapai. Alamat terowongan dan identitas yang terautentikasi tetap di tempatnya.

Sambung ulang membuang koneksi dan membangunnya kembali dari awal, yang mengulangi penetapan alamat, pemasangan rute, dan setiap negosiasi yang dilakukan percobaan pertama.

Autentikasi ulang mengulangi pembuktian identitas itu sendiri, yang bisa melibatkan kredensial, sertifikat, atau faktor kedua. Ini bisa terjadi dengan atau tanpa sambung ulang, tergantung produk.

Apa yang diperhatikan pengguna saat pembaruan

Rekey seharusnya hampir tidak terlihat. Pengenal asosiasi berubah, penghitung bisa direset, dan aplikasi mempertahankan soketnya; jeda singkat ke satu arah normal selama pertukaran. Melihat pengenal baru di daftar status bukan bukti adanya gangguan. Baris log setelah pertukaran itulah yang memberi tahu apakah pertukaran selesai.

Putus koneksi sungguhan saat pembaruan menunjuk ke suatu titik tertentu. Ketidakcocokan proposal, kredensial kedaluwarsa, atau perubahan jalur masing-masing menghasilkan baris log berbeda, dan hanya satu di antaranya diperbaiki dengan menyesuaikan masa berlaku.

Di mana ketiganya berbeda dalam praktik

Jika yang kedaluwarsa hanya materi kunci, lakukan rekey. Jika alamat peer, rute, atau ikatan NAT berubah dan paket tidak lagi tiba, sambungkan ulang. Jika organisasi mewajibkan pemeriksaan identitas berkala, itu autentikasi ulang dan tidak ada penyesuaian masa berlaku yang menggantikannya.

Nilai bawaan protokol biasanya memuat jawaban yang benar. WireGuard melakukan rekey setelah ambang waktu dan volume data tanpa tindakan pengguna; masa berlaku IKEv2 dinegosiasikan per asosiasi anak; terowongan berbasis TLS merotasi kunci di dalam sesi yang ada. Menaikkan masa berlaku untuk menghindari galat berulang menunda kegagalan dan memperpanjang paparan jika kunci disusupi.

Satu catatan penting untuk sesi panjang: frekuensi saja tidak menciptakan kerahasiaan maju. Properti itu bergantung pada bagaimana kunci sesi berhubungan dengan rahasia jangka panjang dan apakah kunci lama dimusnahkan, yang merupakan soal desain dan implementasi, bukan pengaturan.

Pilih nilai bawaan, lalu catat tahapannya

Pertahankan nilai bawaan vendor kecuali ada persyaratan terdokumentasi yang menyatakan sebaliknya, dan ubah masa berlaku di kedua peer jika Anda mengubahnya. Lalu catat tahap yang dicapai setiap peristiwa, agar kejadian berikutnya dapat diperiksa terhadap titik yang sama dalam jabat tangan.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Setelah koreksi, jalankan pembaruan terkendali dan kirim lalu lintas aplikasi baru melalui asosiasi baru. Terowongan yang melaporkan diri terbangun tetapi tidak meneruskan apa pun adalah kegagalan yang hendak ditangkap pemeriksaan ini.