Tul ta' ħajja tas-SA f'IKEv2: tiġdid tal-ċwievet artab, skadenza iebsa, awtentikazzjoni mill-ġdid separata

Il-ħinaturi jiddeċiedu meta ċ-ċwievet ta' mina jiġu sostitwiti, u ż-żewġ limiti involuti spiss jinqraw bħala wieħed. Mhumiex. Tul ta' ħajja artab jitlob lis-sieħeb jibni sostituzzjoni waqt li l-assoċjazzjoni tas-sigurtà attwali għadha ġġorr traffiku, u tul ta' ħajja iebes huwa l-iskadenza li warajha l-assoċjazzjoni antika tispiċċa, kemm jekk is-sostituzzjoni ħadmet u kemm jekk le. Bejniethom hemm tieqa ta' sovrappożizzjoni li teżisti biex il-pakketti ma jaqgħux f'vojt.

X'inhu verament jillimita tul ta' ħajja

Assoċjazzjoni tas-sigurtà IPsec hija qatta' ta' stat kriptografiku: ċwievet għal direzzjoni waħda, indiċi tal-parametri tas-sigurtà, sett ta' algoritmi u selezzjoni. It-tul ta' ħajja jillimita kemm jista' jintuża dak l-istat, li jillimita kemm traffiku jipproteġi ċavetta waħda. Hija miżura ta' trażżin għaċ-ċavetta, mhix dikjarazzjoni dwar kemm għandha ddum sessjoni tal-utent.

L-assoċjazzjonijiet tal-kontroll IKE għandhom iċ-ċwievet tagħhom u t-tulijiet ta' ħajja tagħhom, separati mill-assoċjazzjonijiet tat-tfal li jġorru d-dejta. Hawnhekk in-nies jgħaqqdu żewġ skedi.

L-artab jibda s-sostituzzjoni, l-iebes itemm l-istat antik

Meta l-limitu artab joqrob, is-sieħeb jibda sostituzzjoni. L-implimentazzjonijiet normalment jaqbdu kmieni u jagħmlu l-mument każwali biex ċentru b'mijiet ta' mini ma jiġġeddidx iċ-ċwievet kollha f'daqqa. F'IKEv2 is-sostituzzjoni hija skambju CREATE_CHILD_SA li jġorr nonces ġodda, flimkien ma' skambju Diffie-Hellman meta tkun ikkonfigurata s-segretezza perfetta 'l quddiem. Ir-riżultat huwa par ġdid ta' assoċjazzjonijiet b'ċwievet ġodda.

Is-sovrappożizzjoni hija importanti. Għal żmien qasir is-sieħeb jista' jżomm l-assoċjazzjonijiet antika u ġdida, u qabda tista' turi żewġ settijiet ta' identifikaturi. Dan huwa l-mekkaniżmu jaħdem, mhux ħsara.

Il-limitu iebes ma jaħfirx. Jekk is-sostituzzjoni ma tkunx kompliet sa dakinhar, l-assoċjazzjoni antika trid tiġi rtirata u t-traffiku protett biss minnha jieqaf. Tiġdid ta' ċwievet fallut ripetut li jasal sax-skadenza iebsa huma s-sinjal operattiv biex jiġi investigat, għax il-mina tinżamm b'iskadenza f'kull ċiklu.

Il-limiti tal-użu jistgħu jaqbdu qabel kull arloġġ

Il-ħin mhux l-uniku limitu. L-implimentazzjonijiet jistgħu jillimitaw il-bytes jew il-pakketti protetti minn ċavetta waħda, u mina mgħobbija tilħaq limitu tal-użu ħafna qabel ħinatur ta' sigħat. strongSwan jesponi setting separati ta' tul ta' ħajja u marġni għal ħin, bytes u pakketti, jiġifieri l-punt effettiv ta' tiġdid huwa l-limitu li jiġi l-ewwel, nieqes il-marġni kkonfigurat.

Meta mina tiġġedded ħafna aktar spiss milli jissuġġerixxu s-sigħat ikkonfigurati tagħha, iċċekkja l-limiti tal-bytes u tal-pakketti qabel ma tagħti l-ħtija lill-arloġġ. Rabta saturata u rabta inattiva bl-istess setting tal-ħin ikollhom rati ta' tiġdid ta' ċwievet viżibbilment differenti, u waħda biss minnhom issegwi l-ħinatur.

Kull sieħeb jinfurza l-politika tiegħu

IKEv2 ma jinnegozjax tul ta' ħajja wieħed li ż-żewġ sieħba jridu juru bl-istess mod. Kull naħa tapplika l-politika lokali tagħha u tista' tibda sostituzzjoni meta l-limitu tagħha joqrob, kif deskritt f'RFC 7296 taqsima 2.8. Għalhekk nuqqas ta' qbil bejn is-sigħat ikkonfigurati ta' żewġ sieħba mhuwiex awtomatikament difett, għalkemm valuri ferm differenti jistgħu joħolqu taħwid jekk naħa tibqa' tissostitwixxi stat li oħra għadha kemm installat.

Il-koordinazzjoni tfisser imġiba kompatibbli: twieqi ta' sovrappożizzjoni twal biżżejjed għall-iskambju, marġnijiet li jħallu spazju għal provi mill-ġdid, u monitoraġġ li juri liema naħa bdiet kull tiġdid.

It-tiġdid ta' ċwievet mhuwiex awtentikazzjoni mill-ġdid

It-tiġdid ta' ċwievet iġedded iċ-ċwievet taħt ir-relazzjoni awtentikata eżistenti. Awtentikazzjoni mill-ġdid tirrepeti l-verifika tal-identità, kemm jekk tkun skambju ta' ċertifikati u kemm jekk tkun konverżazzjoni EAP. It-tnejn jaħdmu fuq skedi separati u tiġdid ta' suċċess ma jgħid xejn dwar jekk il-kont għadx għandu aċċess.

Dak id-distinzjoni hija importanti għar-revoka. L-iżattivar ta' kont, ir-revoka ta' ċertifikat jew it-tmiem ta' sessjoni huma deċiżjonijiet ta' aċċess li jeħtieġu politika espliċita fl-implimentazzjoni; ma joħorġux mill-ħinatur tas-SA, u tiġdid ta' ċwievet jista' jkompli bil-kwiet għal identità li diġà tneħħewlha d-drittijiet.

X'għandu jiġi rreġistrat għal kull mina

Irreġistra liema assoċjazzjoni kkawżat it-tiġdid, l-identifikaturi antiki u ġodda, liema limitu qabad u jekk is-sostituzzjoni komplietx fis-sovrappożizzjoni. Dawk l-erba' oqsma jagħmlu problema ta' tiġdid viżibbli qabel ma ssir waqfien, u jiddistingwu politika aggressiva minn waħda li qed tfalli.

Żomm l-iskeda tat-tneħħija tal-aċċess ħdejn dik ir-rekord, mhux ġo fiha. L-iġjene kriptografika u l-politika tal-identità huma kontrolli differenti, u mina li ddawwar iċ-ċwievet fil-ħin xorta tista' żżomm sessjoni li ħadd ma kien beħsiebu jżomm.