Għaliex il-kriptaġġ waħdu ma jwaqqafx pakkett li jerġa' jintbagħat

Il-pakketti protetti ma jiskadux kriptografikament, għalhekk wieħed li kien validu ħames minuti ilu għadu validu issa, għax il-kriptaġġ u l-protezzjoni tal-integrità ma jgħidu xejn dwar meta ġew prodotti l-bytes. Attakkant li jista' jaqbad u jerġa' jibgħat it-traffiku m'għandux għalfejn jikser iċ-ċifrar. Għalhekk kull protokoll serju ta' mina jġorr l-istat tas-sekwenza maġenb iċ-ċwievet tiegħu.

Il-mekkaniżmu hu żgħir, u l-modi tal-falliment tiegħu faċli jiġu konfużi mat-telf tal-pakketti.

Test ċifrat validu mhuwiex test ċifrat frisk

L-awtentikazzjoni twieġeb mistoqsija waħda: dawn il-bytes ġew mingħajr modifika minn min għandu ċ-ċavetta. Ma twieġebx jekk dan huwiex l-ewwel darba li r-riċevitur jaramhom. Pakkett li jerġa' jintbagħat jgħaddi l-ewwel prova perfettament, u għalhekk il-verifika tal-integrità waħedha ma tistax twaqqaf ripetizzjoni u għalhekk il-protokoll jeħtieġ it-tieni regola dwar l-aċċettazzjoni. Riċevitur li biss jawtentika m'għandux difiża kontra attakkant li jkollu reġistrazzjoni.

Dik ir-regola hija rħisa biex tiġi implimentata u rħisa biex titqies: aċċetta pakkett protett partikolari darba, taħt ċavetta partikolari. Kull ħaġa oħra f'dan il-qasam ġejja minn kif l-implimentazzjoni ssegwi dik id-darba waħda.

Li taqra r-rifjut tar-ripetizzjoni bħala falliment ta' dekriptaġġ jibgħat lilek fis-subsistema kompletament żbaljata.

Numru tas-sekwenza u tieqa

IPsec ESP iġorr numru tas-sekwenza u r-riċevitur iżomm tieqa li tiżżerżaq tal-valuri aċċettati reċentement, filwaqt li l-ispeċifikazzjoni ESP tiddeskrivi d-daqs tat-tieqa awtomatiku u l-għażla li tkompli tespandiha. WireGuard jieħu triq oħra b'kontatur għal kull ċavetta u verifika espliċita kontrih. L-ebda disinn ma jassumi li l-pakketti jaslu fl-ordni, għax in-netwerks veri jerġgħu jordnawhom. It-tnejn jittolleraw l-ordn mill-ġdid, u l-ebda wieħed ma jittollera r-ripetizzjoni.

It-tieqa hija dik li tagħmel dik it-tolleranza possibbli. Pakkett ftit warajb l-ogħla valur li deher xorta jista' jiġi aċċettat jekk ma kienx aċċettat qabel; wieħed imbiegħed ħafna lura, jew wieħed li l-post tiegħu huwa diġà mmarkat, jintrema. Kabbar it-tieqa u inti tittollera iktar ordn mill-ġdid bi spiża ta' iktar stat għal kull assoċjazzjoni.

Il-kontaturi dijanjostiċi juru lilek f'liema każ tinsab. Ir-rifjuti tar-ripetizzjoni iżidu kontatur speċifiku u mhux żball ġenerali, u li taqra dak il-kontatur hija l-ewwel osservazzjoni utli.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

L-istat tal-kontatur jappartjeni lill-ċavetta, mhux lill-host

L-istat tal-kontatur huwa marbut ma' assoċjazzjoni tas-sigurtà jew ma' epoka taċ-ċavetta, għalhekk tibdil taċ-ċavetta joħloq kuntest frisk u l-ispazju tas-sekwenza tiegħu stess. Li tnaddaf kontatur mingħajr ma tibdel iċ-ċavetta, jew li terġa' tuża assoċjazzjoni wara reset manwali, tikser l-assunzjoni li fuqha tiddependi t-tieqa tar-riċevitur. Għalhekk teżisti bidla taċ-ċwievet immexxija mill-protokoll u mhux buttuna tar-reset li tidher lill-operatur.

Meta l-mina tġib ruħha ħażin wara intervent manwali, staqsi jekk l-intervent messx l-istat tas-sekwenza. Konfigurazzjoni li tidher identika tista' tġib ruħha differenti għax l-istat li wirtet mhuwiex l-istat li tistenna.

Iddijanjostika l-kawża qabel ma tiddiżattiva xi ħaġa

Telf, ordn mill-ġdid, traffiku doppju u difett fl-implimentazzjoni kollha jidhru bħala trażmissjonijiet mill-ġdid, u wieħed biss minnhom huwa problema ta' ripetizzjoni. Li tiddiżattiva l-verifika biex tiskot l-istorbju tneħħi l-proprjetà li kont tiddependi fuqha u tagħmel il-kawża oriġinali iktar diffiċli biex tinstab, għax issa t-trażmissjonijiet mill-ġdid m'għandhom l-ebda spjegazzjoni.

Iġbor evidenza limitata: identifikaturi tal-assoċjazzjoni, numri tas-sekwenza u kontaturi, mingħajr il-payloads. Dan biżżejjed biex tiddistingwi duplikat minn wasla ordnata mill-ġdid, u ma jbiddilx il-fajl dijanjostiku tiegħek f'kopja tat-traffiku tal-utent.

X'ma jwiegħedx il-verifika

Il-protezzjoni mir-ripetizzjoni hija proprjetà tal-ipproċessar tal-pakketti fi ħdan protokoll wieħed. Ma jfissirx li l-operatur ma jżommx logs, li sit tal-web ma jistax jagħraf kont, jew li sessjoni hija anonima. Dawk huma mistoqsijiet separati dwar sistemi separati, u disinn b'saħħtu kontra r-ripetizzjoni ma jwieġeb l-ebda waħda minnhom.

Softwer miżmum b'konfigurazzjonijiet appoġġjati huwa l-kontroll prattiku disponibbli għall-utent. Il-protokoll jimmaniġġja l-pakkett; kull ħaġa oħra tibqa' deċiżjoni operattiva.