Ċavetta mill-ġdid, qabbil mill-ġdid jew awtentikazzjoni mill-ġdid: liema għandek bżonn?

Sessjoni li ilha għaddejja għal sigħat mhux se żżomm l-istess ċwievet għal dejjem, u dan huwa apposta. Tliet avvenimenti differenti jissejħu rotazzjoni taċ-ċwievet: materjal ta’ sessjoni ġdid taħt assoċjazzjoni eżistenti, bini mill-ġdid sħiħ tal-konnessjoni, u ripetizzjoni tal-verifika tal-identità. Kull wieħed għandu skattatur, spiża u firma ta’ falliment differenti. Agħżel il-ħażin u l-korrezzjoni jew ma tagħmel xejn jew twaqqa’ t-tunnel mingħajr raġuni.

Id-deċiżjoni tiddependi minn liema saff verament skada.

Tliet operazzjonijiet imsejħa rotazzjoni

Ċavetta mill-ġdid toħloq ċwievet ġodda tat-traffiku fi ħdan ir-relazzjoni ta’ kontroll eżistenti, bl-użu tal-mekkaniżmu li jiddefinixxi l-protokoll. IKEv2 jagħmel dan b’assoċjazzjoni ta’ sigurtà tifel ġdida, TLS 1.3 b’messaġġ ta’ aġġornament taċ-ċavetta, u WireGuard b’handshake ġdid meta jintlaħqu l-limiti tiegħu ta’ ħin jew ta’ messaġġi. L-indirizzi tat-tunnel u l-identità awtentikata jibqgħu fejn kienu.

Qabbil mill-ġdid jarmi l-konnessjoni u jerġa’ jibniha mill-bidu, li jirrepeti l-allokazzjoni tal-indirizzi, l-installazzjoni tar-rotot u kull negozjar li għamel l-ewwel tentattiv.

Awtentikazzjoni mill-ġdid tirrepeti l-prova tal-identità nnifisha, li tista’ tinvolvi kredenzjali, ċertifikat jew it-tieni fattur. Tista’ sseħħ bil-qabbil mill-ġdid jew mingħajru, skont il-prodott.

X’jinnotaw l-utenti fit-tiġdid

Ċavetta mill-ġdid għandha tkun kważi inviżibbli. L-identifikaturi tal-assoċjazzjoni jinbidlu, il-kontaturi jistgħu jiġu reset, u l-applikazzjonijiet iżommu s-sockets tagħhom; pawsa qasira f’direzzjoni waħda hija normali matul l-iskambju. Li tara identifikatur ġdid f’lista tal-istat mhuwiex prova ta’ ħsara. Il-linja tal-log li tiġi wara l-iskambju hija dik li tgħidlek jekk spiċċatx.

Qtugħ reali fit-tiġdid jindika post speċifiku. Nuqqas ta’ qbil fil-proposta, kredenzjali skaduta jew bidla fil-passaġġ kull wieħed jipproduċi linja tal-log differenti, u wieħed biss minnhom jiġi kkoreġut billi jiġu aġġustati t-tulijiet tal-ħajja.

Fejn it-tlieta jiddiverġu fil-prattika

Jekk l-unika ħaġa li skadiet hija l-materjal taċ-ċavetta, erġa’ ċċavetta. Jekk l-indirizz tal-pari, ir-rotta jew ir-rabta NAT inbidlu u l-pakketti ma jibqgħux jaslu, erġa’ qabbad. Jekk l-organizzazzjoni teħtieġ verifika perjodika tal-identità, dik hija awtentikazzjoni mill-ġdid u l-ebda aġġustament tat-tulijiet ma jissostitwiha.

Il-valuri prestabbiliti tal-protokoll normalment ikun fihom it-tweġiba t-tajba. WireGuard jerġa’ jċavetta wara limitu ta’ ħin u ta’ volum ta’ data mingħajr ebda azzjoni tal-utent; it-tulijiet tal-ħajja tal-IKEv2 jiġu nnegozjati għal kull assoċjazzjoni tifel; it-tunnels ibbażati fuq TLS iduru ċ-ċwievet fis-sessjoni eżistenti. Iż-żieda tat-tulijiet biex jiġi evitat żball rikorrenti tiddifferixxi l-falliment u ttawwal l-espożizzjoni jekk ċavetta tiġi kompromessa.

Kawtela waħda hija importanti għal sessjonijiet twal: il-frekwenza waħedha ma toħloqx segretezza ’l quddiem. Il-proprjetà tiddependi minn kif iċ-ċwievet tas-sessjoni jirrelataw mas-sigrieti fit-tul u jekk iċ-ċwievet qodma jinqerdux, li hija kwistjoni ta’ disinn u implimentazzjoni, mhux ta’ konfigurazzjoni.

Agħżel il-valuri prestabbiliti, imbagħad irreġistra l-istadju

Żomm il-valuri prestabbiliti tal-fornitur sakemm rekwiżit dokumentat ma jgħidx mod ieħor, u jekk tibdel it-tulijiet tal-ħajja ibdilhom fuq iż-żewġ pari. Imbagħad irreġistra liema stadju laħaq kull avveniment, sabiex l-okkażjoni li jmiss tkun tista’ tiġi vverifikata kontra l-istess punt fl-handshake.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Wara korrezzjoni, agħmel tiġdid ikkontrollat u ibgħat traffiku tal-applikazzjoni frisk mill-assoċjazzjoni l-ġdida. Tunnel li jirrapporta li huwa stabbilit iżda ma jgħaddix xejn huwa l-falliment li din il-verifika teżisti biex taqbad.