Зошто поголем OpenVPN клуч не го отстранува тајмерот за обновување клучеви

Изборот на AES-256 или подолг клуч не кажува ништо за тоа колку долго тој клуч смее да се користи. Јачината на клучот го опишува алгоритмот; политиката за обновување одлучува кога сесијата изведува нов материјал за клуч. Распоредувањето може да ја избере најсилната достапна шифра и сепак да згреши околу обновувањето, бидејќи двете одлуки се носат на различни места. Нивното мешање дава или непотребна промена на шифрата, или сесија која тивко ја надживува својата политика.

Прочитајте ги поставките за обновување пред да ја допрете шифрата, и читајте ги двете страни кога го правите тоа.

Јачината на клучот и животниот век на клучот одговараат на различни прашања

Шифрата и големината на клучот ограничуваат колку скап би бил напад врз пресретнат сообраќај. Интервалот за обновување ограничува колку сообраќај штити еден клуч и колку долго компромитиран клуч останува корисен. Тоа се независни контроли, и посилна шифра не го продолжува безбедниот век на сесијата. Повеќето упатства што велат „користете AES-256“ молчат за обновувањето, бидејќи обновувањето е прашање на политика, а не избор на алгоритам.

Забележете ги двете во белешките за распоредување: што го штити каналот за податоци и што го поттикнува заменувањето на неговите клучеви.

Обновувањето има три тригери, и секоја страна може да ги активира

OpenVPN 2.6 документира одделни тригери за повторно преговарање по бајти, пакети и поминато време. Временскиот тригер е оној што повеќето распоредувања го оставаат на стандардната вредност, што значи дека тивок тунел сепак обновува клуч по распоред. Секоја страна може да ја започне размената, а страната што не ја започнала следи. Затоа промената на тајмерот на една страна не го одредува однесувањето на сесијата; делотворната вредност е на страната што прва започнува.

Тригерите по бајти и пакети се важни за оптоварувања со висок проток или мали пакети, каде политика само по време би дозволила еден клуч да штити многу повеќе податоци отколку што е предвидено. Ако тие бројачи останат исклучени, кажете го тоа намерно во белешките наместо да ја оставите стандардната вредност непроверена.

Обновувањето го изложува текот на автентикација

Повторното преговарање е ново TLS ракување, што значи дека патеката на автентикација повторно се извршува. Распоредувањата со еднократни кодови, хардверски токени или RADIUS предизвик го откриваат тоа на тежок начин: првата врска работи, а сесијата умира еден час подоцна кога второто ракување бара веќе искористен код. auth-gen-token постои за да го премости тој јаз со тоа што му дозволува на серверот да издаде краткотраен токен за повторно преговарање наместо да бара нова интерактивна најава.

Третирајте го ова како проблем на работниот тек што треба да се реши со операторот, а не како доказ дека обновувањето треба да се исклучи.

Тестирајте го обновувањето под оптоварување, а не во едноминутна сесија

Прифатниот тест што се поврзува, испраќа еден ping и се исклучува никогаш не стигнува до обновувањето. Стартувајте доволно долга сесија за да го поминете конфигурираниот тригер, одржувајте пренос во тек цело време и следете ги дневниците на двете страни за новото ракување. Потоа тестирајте ја патеката на дефект: што прави клиентот ако повторното преговарање не може да заврши. Тунел што паѓа чисто полесно се дијагностицира отколку оној што продолжува да праќа во мртва сесија.

Не читајте успешен голем пренос како доказ за криптографски праг. Тој само покажува дека патеката и бројачите издржале толку сообраќај.

Документирајте ги двата избора

Записот бара два реда: како се штитат пакетите и кога таа заштита се заменува. Додајте ја надлежноста за секоја вредност, бидејќи шифрата може да дојде од стандардната поставка на дистрибуцијата, а тајмерот од внатрешна политика. Идниот оператор не треба ниту едното ниту другото да го изведува од конфигурациска датотека.

Ако компатибилноста наложува исклучок, ограничете го на верзија и датум на завршување. Исклучокот што го надживува својата причина станува политика што никој не се сеќава дека ја избрал.