Kunci semula, sambung semula atau pengesahan semula: yang mana anda perlukan?

Sesi yang telah berjalan berjam-jam tidak akan mengekalkan kunci yang sama selama-lamanya, dan itu memang disengajakan. Tiga peristiwa berbeza dipanggil putaran kunci: bahan sesi baharu di bawah persatuan sedia ada, pembinaan semula sambungan sepenuhnya, dan pengulangan semakan identiti. Setiap satu mempunyai pencetus, kos dan tandatangan kegagalan yang berbeza. Pilih yang salah dan pembetulan itu sama ada tidak melakukan apa-apa atau menjatuhkan terowong tanpa sebab.

Keputusan bergantung pada lapisan mana yang sebenarnya tamat tempoh.

Tiga operasi yang dipanggil putaran

Kunci semula mencipta kunci trafik baharu dalam hubungan kawalan sedia ada, menggunakan mekanisme yang ditakrifkan oleh protokol. IKEv2 melakukannya dengan persatuan keselamatan anak baharu, TLS 1.3 dengan mesej kemas kini kunci, dan WireGuard dengan jabat tangan baharu apabila had masa atau mesejnya dicapai. Alamat terowong dan identiti yang disahkan kekal di tempatnya.

Sambung semula membuang sambungan dan membinanya semula dari awal, yang mengulangi peruntukan alamat, pemasangan laluan dan sebarang rundingan yang dilakukan oleh percubaan pertama.

Pengesahan semula mengulangi bukti identiti itu sendiri, yang mungkin melibatkan kelayakan, sijil atau faktor kedua. Ia boleh berlaku dengan atau tanpa sambung semula, bergantung pada produk.

Apa yang pengguna perhatikan semasa pembaharuan

Kunci semula sepatutnya hampir tidak kelihatan. Pengecam persatuan berubah, pembilang mungkin ditetapkan semula, dan aplikasi mengekalkan soketnya; jeda singkat ke satu arah adalah normal semasa pertukaran. Melihat pengecam baharu dalam senarai status bukan bukti kerosakan. Baris log selepas pertukaran itulah yang memberitahu sama ada ia selesai.

Kehilangan sebenar semasa pembaharuan menunjuk ke tempat tertentu. Ketidakpadanan cadangan, kelayakan tamat tempoh atau perubahan laluan masing-masing menghasilkan baris log berbeza, dan hanya satu daripadanya diperbaiki dengan melaraskan jangka hayat.

Di mana ketiga-tiganya berbeza dalam amalan

Jika satu-satunya yang tamat tempoh ialah bahan kunci, lakukan kunci semula. Jika alamat rakan, laluan atau ikatan NAT berubah dan paket tidak lagi tiba, sambung semula. Jika organisasi memerlukan semakan identiti berkala, itu pengesahan semula dan tiada pelarasan jangka hayat boleh menggantikannya.

Nilai lalai protokol biasanya mengandungi jawapan yang betul. WireGuard menukar kunci selepas ambang masa dan isipadu data tanpa tindakan pengguna; jangka hayat IKEv2 dirundingkan bagi setiap persatuan anak; terowong berasaskan TLS memutar kunci dalam sesi sedia ada. Menaikkan jangka hayat untuk mengelakkan ralat berulang menangguhkan kegagalan dan memanjangkan pendedahan jika kunci terjejas.

Satu kaveat penting untuk sesi panjang: kekerapan sahaja tidak mencipta kerahsiaan ke hadapan. Sifat itu bergantung pada bagaimana kunci sesi berkaitan dengan rahsia jangka panjang dan sama ada kunci lama dimusnahkan, yang merupakan persoalan reka bentuk dan pelaksanaan, bukan tetapan.

Pilih nilai lalai, kemudian rekod peringkat

Kekalkan nilai lalai vendor melainkan keperluan terdokumentasi menyatakan sebaliknya, dan ubah jangka hayat pada kedua-dua rakan jika anda mengubahnya. Kemudian rekod peringkat yang dicapai oleh setiap peristiwa, supaya kejadian seterusnya boleh disemak terhadap titik yang sama dalam jabat tangan.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Selepas pembetulan, jalankan pembaharuan terkawal dan hantar trafik aplikasi baharu melalui persatuan baharu. Terowong yang melaporkan dirinya terbina tetapi tidak memajukan apa-apa ialah kegagalan yang hendak ditangkap oleh semakan ini.