Por que uma chave OpenVPN maior não remove o temporizador de renovação

Escolher AES-256 ou uma chave mais longa não diz nada sobre por quanto tempo essa chave pode ser usada. A força da chave descreve o algoritmo; a política de renovação decide quando a sessão deriva novo material de chave. Uma implantação pode escolher a cifra mais forte disponível e ainda errar na renovação, porque as duas decisões são tomadas em lugares diferentes. Confundi-las produz ou uma mudança de cifra desnecessária ou uma sessão que sobrevive silenciosamente à sua política.

Leia as configurações de renovação antes de mexer na cifra, e leia os dois pares quando o fizer.

A força da chave e a vida útil da chave respondem a perguntas diferentes

A cifra e o tamanho da chave limitam quão caro seria um ataque ao tráfego capturado. O intervalo de renovação limita quanto tráfego uma chave protege e por quanto tempo uma chave comprometida continua útil. São controles independentes, e uma cifra mais forte não prolonga a vida segura de uma sessão. A maioria das orientações que dizem 'use AES-256' cala sobre a renovação, porque renovar é uma questão de política e não uma escolha de algoritmo.

Registre ambos nas notas de implantação: o que protege o canal de dados e o que dispara a substituição das suas chaves.

A renovação tem três disparadores, e qualquer um dos pares pode acioná-los

OpenVPN 2.6 documenta disparadores separados para a renegociação com base em bytes, pacotes e tempo decorrido. O disparador de tempo é o que a maioria das implantações deixa no padrão, o que significa que um túnel silencioso ainda renova conforme o calendário. Qualquer um dos pares pode iniciar a troca, e o par que não a iniciou segue. Mudar o temporizador de um lado, portanto, não fixa o comportamento da sessão; o valor efetivo é o do lado que inicia primeiro.

Os disparadores de bytes e pacotes importam em cargas de alto débito ou de pacotes pequenos, onde uma política apenas por tempo deixaria uma chave proteger muito mais dados do que o previsto. Se esses contadores ficarem desativados, diga isso deliberadamente nas notas em vez de deixar o padrão sem exame.

Uma renovação expõe o fluxo de autenticação

A renegociação é um novo handshake TLS, o que significa que o caminho de autenticação corre outra vez. Implantações com códigos de uso único, tokens de hardware ou um desafio RADIUS descobrem isso da maneira difícil: a primeira ligação funciona e a sessão morre uma hora depois, quando o segundo handshake pede um código já utilizado. auth-gen-token existe para colmatar essa lacuna, permitindo que o servidor emita um token de curta duração para a renegociação em vez de exigir um novo início de sessão interativo.

Trate isso como um problema de fluxo de trabalho a resolver com o operador, não como prova de que a renovação deve ser desligada.

Teste a renovação sob carga, não numa sessão de um minuto

Um teste de aceitação que liga, faz um ping e desliga nunca chega à renovação. Execute uma sessão longa o bastante para atravessar o disparador configurado, mantenha uma transferência em curso durante todo o tempo e observe os registos dos dois pares para o novo handshake. Depois teste o caminho de falha: o que o cliente faz se a renegociação não puder ser concluída. Um túnel que cai de forma limpa é mais fácil de diagnosticar do que um que continua a enviar para uma sessão morta.

Não leia uma transferência grande bem-sucedida como prova de um limite criptográfico. Ela mostra apenas que o caminho e os contadores aguentaram esse volume de tráfego.

Documente as duas escolhas

O registo precisa de duas linhas: como os pacotes são protegidos e quando essa proteção é substituída. Acrescente a autoridade de cada valor, porque a cifra pode vir de um padrão da distribuição enquanto o temporizador vem de uma política interna. Um operador futuro não deveria ter de inferir nenhum dos dois a partir de um ficheiro de configuração.

Se a compatibilidade obrigar a uma exceção, limite-a a uma versão e a uma data de fim. Uma exceção que sobrevive à sua razão torna-se a política que ninguém se lembra de ter escolhido.