Firwat e méi groussen OpenVPN-Schlëssel den Neischlëssel-Timer net ofschaaft

D'Wiel vun AES-256 oder engem méi laange Schlëssel seet näischt doriwwer, wéi laang dee Schlëssel benotzt däerf ginn. D'Schlësselstierkt beschreift den Algorithmus; d'Neischlëssel-Politik entscheet, wéini d'Sessioun neit Schlësselmaterial ofleet. Eng Installatioun kann déi stäerkst verfügbar Chiffre wielen an trotzdem bei der Erneierung falsch leien, well déi zwou Entscheedungen op verschiddene Plaze geholl ginn. Se verwiesselen ergëtt entweeder eng onnéideg Chiffreännerung oder eng Sessioun, déi hir Politik roueg iwwerlieft.

Liest d'Neischlëssel-Astellungen, ier Dir d'Chiffre beréiert, a liest béid Säiten, wann Dir dat maacht.

Schlësselstierkt a Schlëssel-Liewensdauer beäntwerten ënnerschiddlech Froen

D'Chiffre an d'Schlësselgréisst begrenzen, wéi deier en Ugrëff op ofgefaangenen Trafike wier. D'Neischlëssel-Intervall begrenzt, wéi vill Trafike ee Schlëssel schützt a wéi laang en kompromittéierte Schlëssel nëtzlech bleift. Dat sinn onofhängeg Knäpp, an eng méi staark Chiffre verlängert net d'sécher Liewensdauer vun enger Sessioun. Déi meescht Guideleit, déi soen 'benotzt AES-256', schweigen iwwer d'Erneierung, well d'Erneierung eng Politikfro ass an net eng Algorithmuswiel.

Schreift béides an d'Installatiounsnotizen: wat den Datekanal schützt an wat den Ersatz vu senge Schlëssele ausléist.

Neischlësselen huet dräi Trigger, a béid Säite kënnen se ausléisen

OpenVPN 2.6 dokumentéiert getrennt Trigger fir d'Re-Negociatioun op Basis vu Bytes, Paketen a vergaanger Zäit. Den Zäit-Trigger ass deen, deen déi meescht Installatiounen um Standard loossen, wat bedeit, datt en duusseren Tunnel trotzdem nom Plang nei schlësselt. Béid Säite kënnen den Austausch ufänken, an déi Säit, déi en net ugefaangen huet, follegt. Dofir setzt eng Ännerung vum Timer op enger Säit net d'Verhalen vun der Sessioun; de wierksame Wäert ass dee vun der Säit, déi als éischt ufänkt.

Byte- a Paket-Trigger si wichteg bei Laaschte mat héijem Duerchszatz oder klenge Paketen, wou eng reng Zäitpolitik engem Schlëssel géif erlaben, vill méi Daten ze schützen wéi geduecht. Wann déi Zähler ausgeschalt bleiwen, soet dat bewosst an den Notizen, amplaz den Standard onëmersicht ze loossen.

En Neischlësselen deckt den Authentifikatiouns-Laf op

Re-Negociatioun ass en neien TLS-Handshake, dat heescht, den Authentifikatiounswee leeft nach eng Kéier. Installatiounen mat Eenmol-Coden, Hardware-Token oder enger RADIUS-Herausfuerderung entdecken dat op déi schwéier Manéier: déi éischt Verbindung funktionéiert an d'Sessioun stierft eng Stonn méi spéit, wann den zweeten Handshake e Code freet, deen schonn benotzt gouf. auth-gen-token existéiert, fir déi Lück ze iwwerbrécken, andeems de Server en Temporal-Token fir d'Re-Negociatioun ausgëtt, amplaz eng nei interaktiv Umeldung ze verlaangen.

Behandelt dat als eng Workflow-Problem, déi mam Betreiber ze léisen ass, an net als Beweis, datt d'Erneierung soll ausgeschalt ginn.

Test d'Erneierung ënner Laascht, net an enger Sessioun vun enger Minutt

En Akzeptanztest, dee sech verbënnt, eng Kéier pingt an ofhänkt, erreecht ni d'Neischlësselung. Loosst eng Sessioun laang genuch lafen, fir den agestellten Trigger ze iwwerschreiden, haalt en Transfer de ganze Wee iwwer a kuckt d'Logbicher vun de béide Säiten nom neien Handshake. Test dann de Feelerwee: wat de Client mécht, wann d'Re-Negociatioun net ka fäerdeg ginn. En Tunnel, deen propper fällt, ass méi einfach ze diagnostizéieren wéi een, dee weider an eng dout Sessioun schéckt.

Liest en erfollegräichen groussen Transfer net als Beweis fir eng kryptografesch Schwelle. Hie weist just, datt de Wee an d'Zähler esou vill Trafike ausgehalen hunn.

Dokumentéiert béid Wielen

De Rekord brauch zwou Zeilen: wéi Pakete geschützt ginn, a wéini dee Schutz ersat gëtt. Füügt d'Autoritéit fir all Wäert bäi, well d'Chiffre aus engem Distributiounsstandard ka kommen, während den Timer aus enger interner Politik kënnt. En zukünftege Betreiber sollt keen vun deenen zwéin aus enger Konfiguratiounsdatei misse schléissen.

Wann d'Kompatibilitéit eng Ausnam forcéiert, begrenzt se op eng Versioun an en Enddatum. Eng Ausnam, déi hire Grond iwwerlieft, gëtt d'Politik, un déi sech keen erënnert, se gewielt ze hunn.