SA-ის სიცოცხლის ხანგრძლივობა IKEv2-ში: რბილი გასაღების განახლება, მკაცრი ვადის გასვლა, ცალკე ხელახალი ავთენტიფიკაცია
რბილი ზღვარი იწყებს ჩანაცვლებას, მკაცრი ზღვარი იხსნის ძველ მდგომარეობას, და გამოყენების ზღვრები შეიძლება ადრე ამოქმედდეს. არც ერთი მათგანი არ იმეორებს მომხმარებლის ავთენტიფიკაციას.
ტაიმერები განსაზღვრავენ, როდის იცვლება გვირაბის გასაღებები, და ორი ჩართული ზღვარი ხშირად ერთად იკითხება. ასე არ არის. რბილი სიცოცხლის ხანგრძლივობა სთხოვს პარტნიორს ჩანაცვლების აშენებას, სანამ მიმდინარე უსაფრთხოების გაერთიანება ჯერ კიდევ ატარებს ტრაფიკს, ხოლო მკაცრი ხანგრძლივობა არის ვადა, რის შემდეგაც ძველი გაერთიანება ქრება, მიუხედავად იმისა იმუშავა თუ არა ჩანაცვლებამ. მათ შორის არის გადაფარვის ფანჯარა, რომელიც არსებობს იმისთვის, რომ პაკეტები უფსკრულში არ ჩავარდეს.
რას ზღუდავს სინამდვილეში სიცოცხლის ხანგრძლივობა
IPsec უსაფრთხოების გაერთიანება კრიპტოგრაფიული მდგომარეობის კონაა: გასაღებები ერთი მიმართულებისთვის, უსაფრთხოების პარამეტრების ინდექსი, ალგორითმების ნაკრები და სელექტორი. ხანგრძლივობა ზღუდავს, რამდენ ხანს შეიძლება ამ მდგომარეობის გამოყენება, რაც ზღუდავს, რამდენ ტრაფიკს იცავს ერთი გასაღები. ეს გასაღების შემზღუდველი ზომაა, არა განცხადება იმის შესახებ, რამდენ ხანს უნდა გაგრძელდეს მომხმარებლის სესია.
IKE კონტროლის გაერთიანებებს აქვთ საკუთარი გასაღებები და საკუთარი ხანგრძლივობები, განცალკევებული მონაცემების მატარებელი შვილეული გაერთიანებებისგან. ეს არის პირველი ადგილი, სადაც ადამიანები ორ განრიგს ურევენ.
რბილი იწყებს ჩანაცვლებას, მკაცრი ამთავრებს ძველ მდგომარეობას
როცა რბილი ზღვარი ახლოვდება, პარტნიორი იწყებს ჩანაცვლებას. იმპლემენტაციები ჩვეულებრივ ადრე ირთვებიან და მომენტს შემთხვევითს ხდიან, რათა ასობით გვირაბის მქონე კვანძმა ყველა გასაღები ერთდროულად არ განაახლოს. IKEv2-ში ჩანაცვლება არის ახალი nonce-ების მატარებელი CREATE_CHILD_SA გაცვლა, პლუს Diffie-Hellman გაცვლა, როცა კონფიგურირებულია სრულყოფილი წინსვლითი საიდუმლობა. შედეგია ახალი წყვილი გაერთიანებებისა ახალი გასაღებებით.
გადაფარვა მნიშვნელოვანია. მოკლე დროით პარტნიორს შეუძლია ძველი და ახალი გაერთიანებების შენარჩუნება, და ჩაწერა შეიძლება აჩვენოს იდენტიფიკატორების ორი ნაკრები. ეს მექანიზმის მუშაობაა, არა გაუმართაობა.
მკაცრი ზღვარი არ პატიობს. თუ ჩანაცვლება მანამდე არ დასრულდა, ძველი გაერთიანება უნდა მოიხსნას და მხოლოდ მის მიერ დაცული ტრაფიკი ჩერდება. განმეორებითი წარუმატებელი გასაღების განახლებები, რომლებიც მკაცრ ვადამდე მიდიან სამუშაო სიგნალია გამოძიებისთვის, რადგან გვირაბი ყოველ ციკლში ვადაზეა დაყრდნობილი.
გამოყენების ზღვრები შეიძლება ამოქმედდეს ნებისმიერ საათამდე
დრო ერთადერთი ზღვარი არ არის. იმპლემენტაციებს შეუძლიათ შეზღუდონ ერთი გასაღების მიერ დაცული ბაიტები ან პაკეტები, და დატვირთული გვირაბი გამოყენების ზღვარს მიაღწევს ბევრად უფრო ადრე, ვიდრე მრავალსაათიანი ტაიმერი. strongSwan გვთავაზობს ცალკეულ ხანგრძლივობისა და ზღვრის პარამეტრებს დროის, ბაიტებისა და პაკეტებისთვის, რაც ნიშნავს, რომ ეფექტური განახლების წერტილი არის ის ზღვარი, რომელიც პირველი მოვა, გამოკლებული კონფიგურირებული ზღვარი.
როცა გვირაბი განახლდება იმაზე ბევრად უფრო ხშირად, ვიდრე მისი კონფიგურირებული საათები მიგვანიშნებს, შეამოწმეთ ბაიტებისა და პაკეტების ზღვრები საათის დადანაშაულებამდე. გაჯერებულ ბმულსა და უმოქმედო ბმულს ერთი და იმავე დროის პარამეტრებით ექნებათ თვალსაჩინოდ განსხვავებული გასაღების განახლების სიხშირე, და მათგან მხოლოდ ერთი მიჰყვება ტაიმერს.
თითოეული პარტნიორი ახორციელებს თავის პოლიტიკას
IKEv2 არ აწარმოებს მოლაპარაკებას ერთ სიცოცხლის ხანგრძლივობაზე, რომელიც ორივე პარტნიორმა იდენტურად უნდა აჩვენოს. თითოეული მხარე იყენებს თავის ლოკალურ პოლიტიკას და შეიძლება დაიწყოს ჩანაცვლება, როცა მისი ზღვარი ახლოვდება, როგორც აღწერილია RFC 7296-ის 2.8 ნაწილში. ამიტომ ორი პარტნიორის კონფიგურირებულ საათებს შორის შეუსაბამობა ავტომატურად ნაკლი არ არის, თუმცა ძალიან განსხვავებულმა მნიშვნელობებმა შეიძლება არეულობა გამოიწვიოს, თუ ერთი მხარე განუწყვეტლივ ცვლის მდგომარეობას, რომელიც მეორემ ახლახან დააყენა.
კოორდინაცია ნიშნავს თავსებად ქცევას: გაცვლისთვის საკმარისად გრძელი გადაფარვის ფანჯრები, ზღვრები, რომლებიც ტოვებენ ადგილს განმეორებითი ცდებისთვის, და მონიტორინგი, რომელიც აჩვენებს, რომელმა მხარემ დაიწყო თითოეული განახლება.
გასაღების განახლება არ არის ხელახალი ავთენტიფიკაცია
გასაღების განახლება აახლებს გასაღებებს არსებული ავთენტიფიცირებული ურთიერთობის ფარგლებში. ხელახალი ავთენტიფიკაცია იმეორებს იდენტობის შემოწმებას, იქნება ეს სერტიფიკატის გაცვლა თუ EAP საუბარი. ორივე ცალკე განრიგით მუშაობს და წარმატებული განახლება არაფერს ამბობს იმაზე, უნდა ჰქონდეს თუ არა ანგარიშს კვლავ წვდომა.
ეს განსხვავება მნიშვნელოვანია გაუქმებისთვის. ანგარიშის გამორთვა, სერტიფიკატის გაუქმება ან სესიის დასრულება წვდომის გადაწყვეტილებებია, რომლებიც იმპლემენტაციაში მკაფიო პოლიტიკას მოითხოვს; ისინი SA ტაიმერიდან არ გამომდინარეობს, და გასაღების განახლება მშვიდად შეიძლება გაგრძელდეს იდენტობისთვის, რომელსაც უფლებები უკვე ჩამორთმეულია.
რა უნდა ჩაიწეროს თითოეული გვირაბისთვის
ჩაწერეთ, რომელმა გაერთიანებამ გამოიწვია განახლება, ძველი და ახალი იდენტიფიკატორები, რომელი ზღვარი ამოქმედდა და დასრულდა თუ არა ჩანაცვლება გადაფარვის შიგნით. ეს ოთხი ველი განახლების პრობლემას ხილულს ხდის სანამ ის შეფერხებად იქცევა, და განასხვავებს აგრესიულ პოლიტიკას წარუმატებელი პოლიტიკისგან.
წვდომის მოხსნის განრიგი შეინახეთ იმ ჩანაწერის გვერდით და არა მის შიგნით. კრიპტოგრაფიული ჰიგიენა და იდენტობის პოლიტიკა სხვადასხვა კონტროლია, და დროულად გასაღებების მბრუნავი გვირაბი მაინც შეიძლება ინახავდეს სესიას, რომლის შენარჩუნებასაც არავინ აპირებდა.