IKEv2 ішіндегі SA өмірлік циклдері: жұмсақ кілт жаңарту, қатаң мерзім біту, бөлек қайта аутентификация

Таймерлер туннель кілттерінің қашан ауыстырылатынын анықтайды, ал қатысатын екі шек жиі бір шек ретінде оқылады. Олай емес. Жұмсақ өмірлік цикл ағымдағы қауіпсіздік бірлестігі әлі трафикті тасымалдап тұрғанда серіктестен ауыстырма құруды сұрайды, ал қатаң өмірлік цикл — ауыстырма жұмыс істесе де, істемесе де ескі бірлестік жойылатын мерзім. Олардың арасында пакеттер ойыққа түспеуі үшін қабаттасу терезесі орналасқан.

Өмірлік цикл шын мәнінде нені шектейді

IPsec қауіпсіздік бірлестігі — криптографиялық күйдің шоғыры: бір бағытқа арналған кілттер, қауіпсіздік параметрлерінің индексі, алгоритмдер жиынтығы және селектор. Өмірлік цикл бұл күйді қанша уақыт пайдалануға болатынын шектейді, бұл бір кілттің қанша трафикті қорғайтынын шектейді. Бұл кілтті тежеу шарасы, пайдаланушы сеансы қанша созылуы керектігі туралы мәлімдеме емес.

IKE басқару бірлестіктерінің өз кілттері мен өз өмірлік циклдері бар, олар деректерді тасымалдайтын еншілес бірлестіктерден бөлек. Міне, адамдар екі кестені осы жерде шатастырады.

Жұмсақ ауыстыруды бастайды, қатаң ескі күйді аяқтайды

Жұмсақ шек жақындағанда, серіктес ауыстыруды бастайды. Іске асырулар әдетте ерте іске қосылып, сәтті рандомизациялайды, сондықтан жүздеген туннелі бар торап барлық кілтті бірден жаңартпайды. IKEv2-де ауыстырма — жаңа nonce тасымалдайтын CREATE_CHILD_SA алмасуы, ал мінсіз ілгерілетілген құпиялылық конфигурацияланған болса, Diffie-Hellman алмасуы қосылады. Нәтиже — жаңа кілттері бар жаңа бірлестіктер жұбы.

Қабаттасу маңызды. Қысқа уақыт серіктес ескі және жаңа бірлестіктерді ұстай алады, ал түсірілім идентификаторлардың екі жиынтығын көрсетуі мүмкін. Бұл механизмнің жұмысы, ақау емес.

Қатаң шек кешірмейді. Егер ауыстырма сол уақытқа дейін аяқталмаса, ескі бірлестікті шығару керек, ал тек онымен қорғалған трафик тоқтайды. Қатаң мерзімге дейін жалғасатын қайталама сәтсіз кілт жаңартулар тергеу үшін операциялық сигнал, өйткені туннель әр циклде мерзімге сүйеніп тұрады.

Пайдалану шектері кез келген сағаттан бұрын іске қосылуы мүмкін

Уақыт — жалғыз шек емес. Іске асырулар бір кілт қорғайтын байттарды немесе пакеттерді шектеуі мүмкін, ал жүктелген туннель көп сағаттық таймерден әлдеқайда бұрын пайдалану шегіне жетеді. strongSwan уақыт, байттар және пакеттер үшін бөлек өмірлік цикл мен маржа параметрлерін ұсынады, яғни тиімді жаңарту нүктесі — бірінші келетін шек минус конфигурацияланған маржа.

Туннель конфигурацияланған сағаттары болжайтынынан әлдеқайда жиі жаңарса, сағатты кінәламас бұрын байттар мен пакеттер шегін тексеріңіз. Бірдей уақыт параметрлерімен қаныққан желі мен бос желі кілт жаңарту жиілігі бойынша айтарлықтай ерекшеленеді, және олардың тек біреуі ғана таймерді ұстанады.

Әрбір серіктес өз саясатын қолданады

IKEv2 екі серіктес те бірдей көрсетуі тиіс бір ғана өмірлік цикл туралы келіспейді. Әр тарап өз жергілікті саясатын қолданады және өз шегі жақындағанда ауыстыруды бастай алады, бұл RFC 7296 құжатының 2.8 бөлімінде сипатталған. Сондықтан екі серіктестің конфигурацияланған сағаттары арасындағы сәйкессіздік автоматты түрде ақау емес, алайда бір тарап екіншісі жаңа ғана орнатқан күйді үнемі ауыстырса, өте әртүрлі мәндер былық тудыруы мүмкін.

Үйлестіру дегеніміз үйлесімді мінез-құлық: алмасуға жеткілікті ұзын қабаттасу терезелері, қайта әрекет етуге орын қалдыратын маржалар және әр жаңартуды қай тарап бастағанын көрсететін мониторинг.

Кілт жаңарту — қайта аутентификация емес

Кілт жаңарту қолданыстағы аутентификацияланған қатынас аясында кілттерді жаңартады. Қайта аутентификация сәйкестікті тексеруді қайталайды, ол сертификат алмасуы болсын, EAP әңгімесі болсын. Екеуі бөлек кестелермен жүреді және сәтті жаңарту аккаунттың әлі де рұқсаты болуы керек пе дегенге ештеңе айтпайды.

Бұл айырмашылық қайтарып алу үшін маңызды. Аккаунтты өшіру, сертификатты қайтарып алу немесе сеансты тоқтату — іске асыруда нақты саясатты қажет ететін рұқсат шешімдері; олар SA таймерінен туындамайды, және кілт жаңарту құқықтары әлдеқашан алынған сәйкестік үшін де тыныш жалғаса береді.

Әрбір туннель бойынша нені жазу керек

Жаңартуды қай бірлестік тудырғанын, ескі және жаңа идентификаторларды, қай шек іске қосылғанын және ауыстырма қабаттасу ішінде аяқталғанын жазыңыз. Осы төрт өріс кілт жаңарту мәселесін үзіліске айналмай тұрып көрінетін етеді және агрессивті саясатты сәтсіз саясаттан ажыратады.

Рұқсатты жою кестесін сол жазбаның ішінде емес, қасында ұстаңыз. Криптографиялық гигиена мен сәйкестік саясаты — әртүрлі бақылаулар, және кілттерді уақытында айналдыратын туннель әлі де ешкім сақтауды ойламаған сеансты ұстап тұруы мүмкін.