SA darbmūžs IKEv2: maiga atslēgu atjaunošana, stingrs beigu termiņš, atsevišķa atkārtota autentifikācija

Taimeri nosaka, kad tiek nomainītas tuneļa atslēgas, un abas iesaistītās robežvērtības bieži tiek lasītas kā viena. Tās nav. Maigs darbmūžs lūdz partnerim izveidot nomaiņu, kamēr pašreizējā drošības asociācija vēl pārvada datplūsmu, un stingrs darbmūžs ir termiņš, pēc kura vecā asociācija pazūd neatkarīgi no tā, vai nomaiņa nostrādāja. Starp tiem atrodas pārklāšanās logs, kas pastāv, lai paketes neiekristu spraugā.

Ko darbmūžs patiešām ierobežo

IPsec drošības asociācija ir kriptogrāfiskā stāvokļa saišķis: atslēgas vienam virzienam, drošības parametru indekss, algoritmu kopa un selektors. Darbmūžs ierobežo, cik ilgi šo stāvokli drīkst izmantot, kas ierobežo, cik daudz datplūsmas aizsargā viena atslēga. Tas ir atslēgas ierobežošanas pasākums, nevis apgalvojums par to, cik ilgi jāilgst lietotāja sesijai.

IKE vadības asociācijām ir savas atslēgas un savi darbmūži, atsevišķi no bērnu asociācijām, kas pārvada datus. Šī ir pirmā vieta, kur cilvēki sajauc divus grafikus.

Maigais sāk nomaiņu, stingrais pabeidz veco stāvokli

Kad maigā robežvērtība tuvojas, partneris sāk nomaiņu. Implementācijas parasti iedarbojas agri un randomizē brīdi, lai mezgls ar simtiem tuneļu neatjaunotu visas atslēgas uzreiz. IKEv2 nomaiņa ir CREATE_CHILD_SA apmaiņa ar svaigiem nonce, plus Diffie-Hellman apmaiņa, ja konfigurēta perfekta uz priekšu vērsta slepenība. Rezultāts ir jauns asociāciju pāris ar jaunām atslēgām.

Pārklāšanās ir svarīga. Īsu brīdi partneris var turēt gan veco, gan jauno asociāciju, un ieraksts var parādīt divas identifikatoru kopas. Tas ir mehānisma darbs, nevis kļūda.

Stingrā robežvērtība nav žēlsirdīga. Ja nomaiņa līdz tam nav pabeigta, vecā asociācija ir jāizved, un datplūsma, ko aizsargāja tikai tā, apstājas. Atkārtotas neveiksmīgas atslēgu atjaunošanas, kas iet līdz stingrajam termiņam ir operatīvs signāls izmeklēšanai, jo tunelis katrā ciklā tiek turēts ar termiņu.

Lietošanas ierobežojumi var iestāties pirms jebkura pulksteņa

Laiks nav vienīgā robeža. Implementācijas var ierobežot baitus vai paketes, ko aizsargā viena atslēga, un noslogots tunelis lietošanas ierobežojumu sasniegs daudz agrāk nekā vairāku stundu taimeris. strongSwan piedāvā atsevišķus darbmūža un rezerves iestatījumus laikam, baitiem un pakatēm, kas nozīmē, ka efektīvais atjaunošanas punkts ir tā robežvērtība, kas pienāk pirmā, mīnus konfigurētā rezerve.

Kad tunelis atjaunojas daudz biežāk, nekā liecina tā konfigurētās stundas, pārbaudiet baitu un pakešu ierobežojumus, pirms vainot pulksteni. Piesātināta saite un dīkstāves saite ar vienādiem laika iestatījumiem uzrādīs redzami atšķirīgu atslēgu atjaunošanas ātrumu, un tikai viena no tām seko taimerim.

Katrs partneris īsteno savu politiku

IKEv2 nevienojas par vienu darbmūžu, kas abiem partneriem jārāda identiski. Katra puse piemēro savu vietējo politiku un var sākt nomaiņu, kad tuvojas tās pašas robeža, kā aprakstīts RFC 7296 2.8 sadaļā. Tāpēc divu partneru konfigurēto stundu atšķirība nav automātiski defekts, lai gan ļoti atšķirīgas vērtības var radīt nemieru, ja viena puse pastāvīgi nomaina stāvokli, ko otra tikko instalēja.

Koordinācija nozīmē saderīgu uzvedību: pārklāšanās logi, kas ir pietiekami gari apmaiņai, rezerves, kas atstāj vietu atkārtotiem mēģinājumiem, un uzraudzība, kas parāda, kura puse sāka katru atjaunošanu.

Atslēgu atjaunošana nav atkārtota autentifikācija

Atslēgu atjaunošana atsvaidzina atslēgas esošajā autentificētajā attiecībā. Atkārtota autentifikācija atkārto identitātes pārbaudi, vai tā būtu sertifikātu apmaiņa vai EAP saruna. Abas darbojas pēc atsevišķiem grafikiem, un veiksmīga atjaunošana neko nepasaka par to, vai kontam vēl jābūt piekļuvei.

Šī atšķirība ir svarīga atsaukšanai. Konta atspējošana, sertifikāta atsaukšana vai sesijas pārtraukšana ir piekļuves lēmumi, kuriem implementācijā vajadzīga skaidra politika; tie neizriet no SA taimera, un atslēgu atjaunošana var mierīgi turpināties identitātei, kurai jau atņemtas tiesības.

Ko ierakstīt katram tunelim

Ierakstiet, kura asociācija izraisīja atjaunošanu, vecos un jaunos identifikatorus, kura robežvērtība iedarbojās un vai nomaiņa tika pabeigta pārklāšanās laikā. Šie četri lauki padara atjaunošanas problēmu redzamu pirms tā kļūst par pārtraukumu, un tie atšķir agresīvu politiku no neveiksmīgas.

Turiet piekļuves noņemšanas grafiku blakus šim ierakstam, nevis tajā. Kriptogrāfiskā higiēna un identitātes politika ir dažādas kontroles, un tunelis, kas laikus rotē atslēgas, joprojām var turēt sesiju, kuru neviens negrasījās saglabāt.