Обновување клуч, повторно поврзување или повторна автентикација: што ви треба?

Сесија што работи со часови нема засекогаш да ги задржи истите клучеви, и тоа е намерно. Три различни настани се нарекуваат ротација на клучеви: нов сесиски материјал под постоечка асоцијација, целосно повторно градење на врската и повторување на проверката на идентитет. Секој има различен предизвикувач, различна цена и различен потпис на дефект. Изберете го погрешниот и поправката или не прави ништо или го урива тунелот без причина.

Одлуката зависи од тоа кој слој навистина истече.

Три операции што се нарекуваат ротација

Обновувањето клуч создава свежи клучеви за сообраќај во постоечката контролна врска, користејќи го механизмот што го дефинира протоколот. IKEv2 го прави тоа со нова подредена безбедносна асоцијација, TLS 1.3 со порака за ажурирање на клуч, а WireGuard со ново ракување кога ќе се достигнат неговите временски или пораковни граници. Адресите на тунелот и автентифицираниот идентитет остануваат каде што беа.

Повторното поврзување ја отфрла врската и ја гради повторно од почеток, што го повторува доделувањето адреси, инсталирањето рути и секое преговарање од првиот обид.

Повторната автентикација го повторува самиот доказ за идентитет, што може да вклучи акредитиви, сертификат или втор фактор. Може да се случи со или без повторно поврзување, зависно од производот.

Што забележуваат корисниците при обновувањето

Обновувањето клуч треба да биде речиси невидливо. Идентификаторите на асоцијацијата се менуваат, бројачите може да се ресетираат, а апликациите ги задржуваат своите сокети; кратка пауза во една насока е нормална за време на размената. Новиот идентификатор во списокот со состојба не е доказ за дефект. Линијата во дневникот по размената ви кажува дали е завршена.

Вистинско прекинување при обновувањето покажува на конкретно место. Несовпаѓање на предлогот, истечени акредитиви или промена на патеката секое дава различна линија во дневникот, и само едно од нив се поправа со прилагодување на роковите.

Каде трите се разидуваат во практиката

Ако единственото што истече е клучниот материјал, обновете го клучот. Ако адресата на партнерот, рутата или NAT-врската се смениле и пакетите веќе не пристигнуваат, поврзете се повторно. Ако организацијата бара периодична проверка на идентитетот, тоа е повторна автентикација и никакво прилагодување на роковите не ја заменува.

Стандардните вредности на протоколите обично го содржат точниот одговор. WireGuard обновува клучеви по праг на време и обем на податоци без дејство од корисникот; роковите на IKEv2 се преговараат за секоја подредена асоцијација; тунелите засновани на TLS ротираат клучеви во постоечката сесија. Зголемувањето на роковите за да се избегне повторлива грешка го одложува дефектот и го продолжува изложувањето ако клучот биде компромитиран.

Една забелешка е важна за долги сесии: самата честота не создава напредна тајност. Ова својство зависи од тоа како сесиските клучеви се поврзани со долгорочните тајни и дали старите клучеви се уништуваат, што е прашање на дизајн и имплементација, а не на поставка.

Изберете стандардни вредности, потоа запишете ја фазата

Задржете ги стандардните вредности на добавувачот освен ако документирано барање не каже поинаку, и ако воопшто ги менувате роковите, сменете ги на двете страни. Потоа запишете до која фаза стигнал секој настан, за да може следниот случај да се провери против истата точка во ракувањето.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

По поправката изведете контролирано обновување и испратете свеж сообраќај на апликациите преку новата асоцијација. Тунел што известува дека е воспоставен, но ништо не препраќа, е дефектот за чие фаќање постои оваа проверка.