Atslēgas atjaunošana, atkārtota savienošana vai atkārtota autentifikācija: kas jums nepieciešams?

Sesija, kas darbojas jau stundas, nemūžam nepaturēs tās pašas atslēgas, un tas ir apzināti. Trīs dažādi notikumi tiek saukti par atslēgu rotāciju: jauns sesijas materiāls esošas asociācijas ietvaros, pilnīga savienojuma pārbūve un identitātes pārbaudes atkārtošana. Katram ir cits ierosinātājs, citas izmaksas un cita atteices pazīme. Izvēlēsities nepareizo – labojums vai nu neko nedarīs, vai bez iemesla noslēgs tuneli.

Lēmums ir atkarīgs no tā, kurš slānis patiešām beidzās.

Trīs darbības, ko sauc par rotāciju

Atslēgas atjaunošana izveido jaunas trafika atslēgas esošajā kontroles attiecībā, izmantojot protokola noteikto mehānismu. IKEv2 to dara ar jaunu pakārtotu drošības asociāciju, TLS 1.3 ar atslēgas atjaunināšanas ziņojumu, bet WireGuard ar jaunu rokasspiedienu, tiklīdz tiek sasniegti tā laika vai ziņojumu ierobežojumi. Tuneļa adreses un autentificētā identitāte paliek savās vietās.

Atkārtota savienošana atmet savienojumu un veido to no jauna no sākuma, kas atkārto adrešu piešķiršanu, maršrutu instalēšanu un visas pirmā mēģinājuma sarunas.

Atkārtota autentifikācija atkārto pašu identitātes pierādījumu, kas var ietvert akreditācijas datus, sertifikātu vai otru faktoru. Tas var notikt ar atkārtotu savienošanu vai bez tās, atkarībā no produkta.

Ko lietotāji pamana atjaunošanas laikā

Atslēgas atjaunošanai jābūt gandrīz neredzamai. Asociācijas identifikatori mainās, skaitītāji var tikt atiestatīti, un lietojumprogrammas saglabā savus ligzdas; īss pārtraukums vienā virzienā apmaiņas laikā ir normāls. Jauns identifikators statusa sarakstā nav atteices pierādījums. Žurnāla rinda pēc apmaiņas pasaka, vai tā ir pabeigta.

Īsts pārrāvums atjaunošanas laikā norāda uz konkrētu vietu. Priekšlikuma nesakritība, beigušies akreditācijas dati vai ceļa maiņa katrs rada citu žurnāla rindu, un tikai viens no tiem tiek labots, pielāgojot derīguma termiņus.

Kur trīs praksē atšķiras

Ja beidzies ir tikai atslēgas materiāls, atjaunojiet atslēgu. Ja mainījusies partnera adrese, maršruts vai NAT saistījums un paketes vairs nenāk, savienojieties atkārtoti. Ja organizācija pieprasa periodisku identitātes pārbaudi, tā ir atkārtota autentifikācija, un nekāda derīguma termiņu pielāgošana to neaizstāj.

Protokolu noklusējuma vērtības parasti satur pareizo atbildi. WireGuard maina atslēgas pēc laika un datu apjoma sliekšņa bez lietotāja darbības; IKEv2 derīguma termiņi tiek saskaņoti katrai pakārtotai asociācijai; uz TLS balstīti tuneļi rotē atslēgas esošajā sesijā. Derīguma termiņu palielināšana, lai izvairītos no atkārtotas kļūdas, atliek atteici un pagarina ietekmi, ja atslēga tiek kompromitēta.

Viens brīdinājums ir svarīgs garām sesijām: tikai biežums nerada uz priekšu vērstu slepenību. Šī īpašība ir atkarīga no tā, kā sesijas atslēgas saistās ar ilgtermiņa noslēpumiem un vai vecās atslēgas tiek iznīcinātas, un tas ir projektēšanas un ieviešanas, nevis iestatījuma jautājums.

Izvēlieties noklusējuma vērtības, pēc tam reģistrējiet posmu

Saglabājiet piegādātāja noklusējuma vērtības, ja vien dokumentēta prasība nenosaka citādi, un, ja vispār maināt derīguma termiņus, mainiet tos abās pusēs. Pēc tam reģistrējiet, kuru posmu sasniedza katrs notikums, lai nākamo gadījumu varētu pārbaudīt pret to pašu rokasspiediena punktu.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Pēc labojuma veiciet kontrolētu atjaunošanu un sūtiet svaigu lietojumprogrammu trafiku caur jauno asociāciju. Tunelis, kas ziņo, ka ir izveidots, bet neko nepārsūta, ir atteice, kurai šī pārbaude ir paredzēta.