Għaliex ċavetta OpenVPN akbar ma tneħħix il-ħin tal-ġbid mill-ġdid

L-għażla ta' AES-256 jew ta' ċavetta itwal ma tgħid xejn dwar kemm tista' tintuża dik iċ-ċavetta. Is-saħħa taċ-ċavetta tiddeskrivi l-algoritmu; il-politika tal-ġbid mill-ġdid tiddeċiedi meta s-sessjoni tislet materjal ġdid taċ-ċavetta. Skjerament jista' jagħżel l-iktar ċifrar qawwi disponibbli u xorta jkun żbaljat dwar it-tiġdid, għax iż-żewġ deċiżjonijiet jittieħdu f'postijiet differenti. It-taħlit tagħhom iwassal jew għal bidla taċ-ċifrar bla bżonn jew għal sessjoni li bil-kwiet tgħix aktar mill-politika tagħha.

Aqra s-settings tal-ġbid mill-ġdid qabel ma tmiss iċ-ċifrar, u aqra ż-żewġ naħat meta tagħmel dan.

Is-saħħa taċ-ċavetta u l-ħajja taċ-ċavetta jwieġbu mistoqsijiet differenti

Iċ-ċifrar u d-daqs taċ-ċavetta jillimitaw kemm ikun għali attakk fuq traffiku maqbud. L-intervall tal-ġbid mill-ġdid jillimita kemm traffiku jipproteġi ċavetta waħda u kemm idum utli ċavetta mikxufa. Dawn huma kontrolli indipendenti, u ċifrar iktar qawwi ma jtawwalx il-ħajja sigura ta' sessjoni. Ħafna gwidi li jgħidu 'uża AES-256' jisktu dwar it-tiġdid, għax it-tiġdid hija kwistjoni ta' politika u mhux għażla ta' algoritmu.

Innota t-tnejn fin-noti tal-iskjerament: x'jipproteġi l-kanal tad-data, u x'jagħti bidu għas-sostituzzjoni taċ-ċwievet tiegħu.

Il-ġbid mill-ġdid għandu tliet grillijiet, u kull naħa tista' tixgħelhom

OpenVPN 2.6 jiddokumenta grillijiet separati għan-negozjar mill-ġdid ibbażati fuq bytes, pakketti u ħin li għadda. Il-grill tal-ħin huwa dak li ħafna skjeramenti jħallu fuq il-valur prestabbilit, li jfisser li mina kwieta xorta tagħmel ġbid mill-ġdid skont l-iskeda. Kwalunkwe naħa tista' tibda l-bdil, u n-naħa li ma bdietx issegwih. Għalhekk it-tibdil tal-ħin fuq naħa waħda ma jistabbilixxix l-imġiba tas-sessjoni; il-valur effettiv huwa tan-naħa li tibda l-ewwel.

Il-grillijiet tal-bytes u tal-pakketti jgħodd għal tagħbijiet b'rata għolja jew pakketti żgħar, fejn politika bbażata biss fuq il-ħin tħalli ċavetta waħda tipproteġi ħafna iktar data milli maħsub. Jekk dawk il-kontaturi jibqgħu mitfija, għidha apposta fin-noti minflok tħalli l-valur prestabbilit mingħajr eżami.

Ġbid mill-ġdid jikxef il-fluss tal-awtentikazzjoni

Negoziar mill-ġdid huwa handshake TLS ġdid, li jfisser li t-triq tal-awtentikazzjoni terġa' taħdem. Skjeramenti li jużaw kodi ta' darba, tokens tal-ħardwer jew sfida RADIUS jiskopru dan bil-mod iebes: l-ewwel konnessjoni taħdem u s-sessjoni tmut siegħa wara meta t-tieni handshake jitlob kodi li diġà ntuża. auth-gen-token jeżisti biex jaqbeż dak il-vojt billi jħalli lis-server joħroġ token qasir għan-negozjar mill-ġdid minflok ma jitlob dħul interattiv ġdid.

Ittrattah bħala problema ta' fluss tax-xogħol x'jissolva mal-operatur, mhux bħala prova li t-tiġdid għandu jintefa.

Ittestja t-tiġdid taħt tagħbija, mhux f'sessjoni ta' minuta

Test ta' aċċettazzjoni li jikkonnettja, jagħmel ping darba u jiskonnettja qatt ma jasal għall-ġbid mill-ġdid. Mexxi sessjoni twila biżżejjed biex taqbeż il-grill ikkonfigurat, żomm trasferiment għaddej tulha kollha, u ħares il-logs taż-żewġ naħat għall-handshake il-ġdid. Imbagħad ittestja t-triq tal-falliment: x'jagħmel il-klijent jekk in-negozjar mill-ġdid ma jistax jitlesta. Mina li taqa' sewwa hija iktar faċli biex tiddijanjostikaha minn waħda li tibqa' tibgħat f'sessjoni mejta.

Aqrax trasferiment kbir ta' suċċess bħala prova ta' limitu kriptografiku. Dan juri biss li t-triq u l-kontaturi għaddew minn daqshekk traffiku.

Iddokumenta ż-żewġ għażliet

Ir-rekord jeħtieġ żewġ linji: kif huma protetti l-pakketti, u meta dik il-protezzjoni tiġi sostitwita. Żid l-awtorità għal kull valur, għax iċ-ċifrar jista' jiġi minn default tad-distribuzzjoni filwaqt li l-ħin jiġi minn politika interna. Operatur futur m'għandux ikollu jaħseb waħda minnhom minn fajl ta' konfigurazzjoni.

Jekk il-kompatibilità ġġiegħel eċċezzjoni, illimitaha għal verżjoni u data tat-tmiem. Eċċezzjoni li tgħix iktar mir-raġuni tagħha ssir il-politika li ħadd ma jiftakar li għażel.