Hvers vegna dulkóðun ein og sér stöðvar ekki endurspilaða pakka

Verndaðir pakkar renna ekki út dulmálsfræðilega, svo pakki sem var gildur fyrir fimm mínútum er enn gildur núna, því dulkóðun og heilleiksvörn segja ekkert um hvenær bætin voru búin til. Árásarmaður sem getur handsamað og endursent umferð þarf ekki að brjóta dulritið. Þess vegna ber hvert alvarlegt gönguprotokoll röðstöðu við hlið lykla sinna.

Virknin er lítil, og auðvelt er að rugla bilunarháttum hennar saman við pakkatap.

Gilt dulrit er ekki ferskt dulrit

Auðkenning svarar einni spurningu: komu þessi bæti óbreytt frá einhverjum sem hefur lykilinn. Hún svarar ekki hvort móttakandinn sér þau í fyrsta sinn. Endurspilaður pakki stenst fyrsta prófið fullkomlega, og einmitt þess vegna getur heilleiksskoðun ein og sér ekki stöðvað endurspilun og þess vegna þarf protokollið aðra reglu um móttöku. Móttakandi sem aðeins auðkennir hefur enga vörn gegn árásarmanni sem hefur upptöku.

Þessi regla er ódýr í innleiðingu og ódýr í orðalagi: samþykktu tiltekinn verndaðan pakka einu sinni, undir tilteknum lykli. Allt annað á þessu sviði leiðir af því hvernig innleiðingin fylgist með þessu eina sinni.

Að lesa endurspilunarhöfnun sem afkóðunarbilun sendir þig í algjörlega rangt undirkerfi.

Röðnúmer og gluggi

IPsec ESP ber röðnúmer og móttakandinn heldur hlaupandi glugga yfir nýlega samþykkt gildi, en ESP-forskriftin lýsir sjálfgefinni gluggastærð og valinu að stækka hana. WireGuard fer aðra leið með teljara fyrir hvern lykil og skýra athugun gegn honum. Hvorug hönnunin gerir ráð fyrir að pakkar komi í röð, því raunveruleg net endurraða þeim. Báðar þola endurröðun, og hvorug þolir endurtekningu.

Glugginn er það sem gerir þetta umburðarlyndi mögulegt. Pakki sem er aðeins á eftir hæsta gildinu sem sést hefur getur enn verið samþykktur ef hann hefur ekki verið samþykktur áður; pakki sem er langt á eftir, eða sá þar sem reiturinn er þegar merktur, er hent. Stækkaðu gluggann og þú þolir meiri endurröðun á kostnað meiri stöðu fyrir hverja samtengingu.

Greiningarteljarar sýna þér í hvaða tilfelli þú ert. Endurspilunarhöfnanir hækka tiltekinn teljara frekar en almenna villu, og að lesa þann teljara er fyrsta gagnlega athugunin.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Staðan tilheyrir lyklinum, ekki hýsilnum

Staða teljarans er bundin öryggissamtengingu eða lyklatímabili, svo lyklaskipti skapa ferskt samhengi og eigið röðrými. Að hreinsa teljara án þess að skipta um lykil, eða endurnýta samtengingu eftir handvirka endurstillingu, brýtur þá forsendu sem gluggi móttakandans byggir á. Þess vegna er til lyklaskipti sem protokollið stýrir í stað endurstillingarhnapps sem rekstraraðilinn sér.

Þegar göng hegða sér illa eftir handvirka íhlutun, spurðu hvort íhlutunin hafi snert röðstöðuna. Stilling sem lítur eins út getur hegðað sér öðruvísi því staðan sem hún erfði er ekki staðan sem hún væntir.

Greindu orsökina áður en þú slökkvir á einhverju

Tap, endurröðun, tvöföld umferð og innleiðingargalli koma allt fram sem endursendingar, og aðeins ein þeirra er endurspilunarvandamál. Að slökkva á skoðuninni til að þagga niður hávaða fjarlægir eiginleikann sem þú reiddir þig á og gerir upprunalegu orsökina erfiðari að finna, því nú hafa endursendingarnar enga skýringu yfirhöfuð.

Safnaðu takmörkuðum sönnunum: samtengingarauðkenni, röðnúmer og teljara, án hyrnis. Það nægir til að greina tvírit frá endurröðuðum komu, og það gerir greiningarskrána þína ekki að afriti af umferð notandans.

Hvað skoðunin lofar ekki

Vörn gegn endurspilun er eiginleiki pakkavinnslu innan eins protokolls. Það þýðir ekki að rekstraraðilinn haldi engar skrár, að vefsíða geti ekki þekkt reikning eða að lota sé nafnlaus. Þetta eru aðskildar spurningar um aðskilin kerfi, og sterk endurspilunarvörn svarar engri þeirra.

Viðhaldið hugbúnaður með studdum stillingum er sú hagnýta stjórn sem notandi hefur. Protokollið sér um pakkann; allt annað er áfram rekstrarákvörðun.