გასაღების განახლება, ხელახლა დაკავშირება თუ ხელახალი ავთენტიფიკაცია: რომელი გჭირდებათ?

საათობით მომუშავე სესია სამუდამოდ არ შეინარჩუნებს ერთსა და იმავე გასაღებებს და ეს განზრახ ასეა. სამ სხვადასხვა მოვლენას გასაღებების როტაციას უწოდებენ: ახალი სესიის მასალა არსებული ასოციაციის ქვეშ, კავშირის სრული ხელახალი აგება და იდენტურობის შემოწმების გამეორება. თითოეულს განსხვავებული ტრიგერი, განსხვავებული ღირებულება და განსხვავებული წარუმატებლობის ხელწერა აქვს. აირჩევთ არასწორს და შესწორება ან არაფერს გააკეთებს, ან უმიზეზოდ ჩამოგდებს გვირაბს.

გადაწყვეტილება დამოკიდებულია იმაზე, რომელი ფენა რეალურად ამოიწურა.

სამი ოპერაცია, რომელსაც როტაციას უწოდებენ

გასაღების განახლება ქმნის ახალ ტრაფიკის გასაღებებს არსებული კონტროლის ურთიერთობის შიგნით, პროტოკოლის მიერ განსაზღვრული მექანიზმის გამოყენებით. IKEv2 ამას აკეთებს ახალი შვილობილი უსაფრთხოების ასოციაციით, TLS 1.3 გასაღების განახლების შეტყობინებით, ხოლო WireGuard ახალი ხელის ჩამორთმევით, როცა მის დროის ან შეტყობინებების ზღვრებს მიაღწევს. გვირაბის მისამართები და ავთენტიფიცირებული იდენტურობა იქ რჩება, სადაც იყო.

ხელახლა დაკავშირება ყრის კავშირს და თავიდან აშენებს მას, რაც იმეორებს მისამართების მინიჭებას, მარშრუტების დაყენებას და პირველი მცდელობის ყველა მოლაპარაკებას.

ხელახალი ავთენტიფიკაცია იმეორებს იდენტურობის დამტკიცებას, რომელიც შეიძლება მოიცავდეს სერთიფიკატს, რწმუნებულ მონაცემებს ან მეორე ფაქტორს. ის შეიძლება მოხდეს ხელახალი დაკავშირებით ან მის გარეშე, პროდუქტის მიხედვით.

რას ამჩნევენ მომხმარებლები განახლებისას

გასაღების განახლება თითქმის უხილავი უნდა იყოს. ასოციაციის იდენტიფიკატორები იცვლება, მრიცხველები შეიძლება განულდეს, ხოლო აპლიკაციები ინარჩუნებენ თავიანთ სოკეტებს; გაცვლის დროს ერთი მიმართულებით ხანმოკლე პაუზა ნორმალურია. სტატუსის სიაში ახალი იდენტიფიკატორის დანახვა ხარვეზის მტკიცებულება არ არის. გაცვლის შემდეგ მომდევნო ჟურნალის სტრიქონი გეუბნებათ, დასრულდა თუ არა ის.

განახლებისას რეალური წყვეტა კონკრეტულ ადგილზე მიუთითებს. წინადადების შეუთავსებლობა, ვადაგასული რწმუნებული მონაცემები ან ბილიკის ცვლილება თითოეული განსხვავებულ ჟურნალის სტრიქონს ქმნის, და მხოლოდ ერთი მათგანი სწორდება ვადების კორექტირებით.

სად იყოფიან სამივე პრაქტიკაში

თუ ერთადერთი, რაც ამოიწურა, გასაღების მასალაა, განაახლეთ გასაღები. თუ პირის მისამართი, მარშრუტი ან NAT-ის კავშირი შეიცვალა და პაკეტები აღარ მოდის, ხელახლა დაუკავშირდით. თუ ორგანიზაცია პერიოდულ იდენტურობის შემოწმებას მოითხოვს, ეს ხელახალი ავთენტიფიკაციაა და ვადების ვერც ერთი კორექტირება ვერ ჩაანაცვლებს მას.

პროტოკოლების ნაგულისხმევი მნიშვნელობები ჩვეულებრივ სწორ პასუხს შეიცავს. WireGuard გასაღებებს ცვლის დროისა და მონაცემების მოცულობის ზღვრის შემდეგ მომხმარებლის მოქმედების გარეშე; IKEv2-ის ვადები მოლაპარაკდება თითოეული შვილობილი ასოციაციისთვის; TLS-ზე დაფუძნებული გვირაბები გასაღებებს არსებული სესიის შიგნით ატრიალებენ. ვადების გაზრდა განმეორებადი შეცდომის თავიდან ასაცილებლად აჭიანურებს ჩავარდნას და ახანგრძლივებს გამოვლენას, თუ გასაღები გატყდა.

ერთი დათქმა მნიშვნელოვანია გრძელი სესიებისთვის: მხოლოდ სიხშირე არ ქმნის წინსვლის საიდუმლოებას. ეს თვისება დამოკიდებულია იმაზე, თუ როგორ უკავშირდება სესიის გასაღებები გრძელვადიან საიდუმლოებებს და ნადგურდება თუ არა ძველი გასაღებები, რაც დიზაინისა და იმპლემენტაციის, და არა პარამეტრის საკითხია.

აირჩიეთ ნაგულისხმევი მნიშვნელობები, შემდეგ ჩაწერეთ ეტაპი

შეინარჩუნეთ მომწოდებლის ნაგულისხმევი მნიშვნელობები, თუ დოკუმენტირებული მოთხოვნა სხვას არ ამბობს, და თუ ვადებს ცვლით, ორივე მხარეს შეცვალეთ. შემდეგ ჩაწერეთ, რომელ ეტაპს მიაღწია თითოეულმა მოვლენამ, რათა შემდეგი შემთხვევა ხელის ჩამორთმევის იმავე წერტილს შევადაროთ.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

შესწორების შემდეგ ჩაატარეთ კონტროლირებადი განახლება და გაგზავნეთ ახალი აპლიკაციის ტრაფიკი ახალი ასოციაციით. გვირაბი, რომელიც აცხადებს დამყარებას, მაგრამ არაფერს გადასცემს, ის ჩავარდნაა, რომლის დასაჭერადაც ეს შემოწმება არსებობს.