Življenjske dobe SA v IKEv2: mehka obnova ključev, trd iztek, ločena ponovna overitev

Časovniki določajo, kdaj se ključi predora zamenjajo, in dva udeležena pragova se pogosto bereta kot eden. Nista. Mehka življenjska doba prosi partnerja, naj zgradi zamenjavo, medtem ko trenutna varnostna povezava še prenaša promet, trda življenjska doba pa je rok, po katerem stara povezava izgine, ne glede na to, ali je zamenjava uspela. Med njima je okno prekrivanja, ki obstaja zato, da paketi ne padejo v vrzel.

Kaj življenjska doba v resnici omejuje

Varnostna povezava IPsec je snop kriptografskega stanja: ključi za eno smer, indeks varnostnih parametrov, nabor algoritmov in selektor. Življenjska doba omejuje, kako dolgo se to stanje sme uporabljati, kar omejuje, koliko prometa zaščiti en ključ. To je zadrževalni ukrep za ključ, ne izjava o tem, kako dolgo naj bi trajala uporabniška seja.

Krmilne povezave IKE imajo svoje ključe in svoje življenjske dobe, ločene od podrejenih povezav, ki prenašajo podatke. Tu ljudje prvič zamenjujejo dva urnika.

Mehka začne zamenjavo, trda konča staro stanje

Ko se mehki prag približa, partner začne zamenjavo. Izvedbe običajno sprožijo zgodaj in randomizirajo trenutek, da vozlišče s stotimi predori ne obnovi vseh ključev hkrati. V IKEv2 je zamenjava izmenjava CREATE_CHILD_SA z novimi nonce, plus izmenjava Diffie-Hellman, ko je nastavljena popolna vnaprejšnja tajnost. Rezultat je nov par povezav z novimi ključi.

Prekrivanje je pomembno. Kratek čas lahko partner drži staro in novo povezavo, posnetek prometa pa lahko pokaže dva niza identifikatorjev. To je mehanizem, ki deluje, ne okvara.

Trdi prag ne prizanaša. Če zamenjava do takrat ni končana, je treba staro povezavo umakniti in promet, ki ga je varovala samo ona, se ustavi. Ponavljajoče se neuspele obnove ključev, ki gredo vse do trdega izteka so operativni signal za preiskavo, ker predor vsak cikel drži rok.

Omejitve uporabe lahko sprožijo pred katero koli uro

Čas ni edina meja. Izvedbe lahko omejijo bajte ali pakete, ki jih varuje en ključ, in zaseden predor bo dosegel omejitev uporabe veliko prej kot večurna ura. strongSwan ponuja ločene nastavitve življenjske dobe in rezerve za čas, bajte in pakete, kar pomeni, da je dejanska točka obnove prag, ki pride prvi, minus nastavljena rezerva.

Ko se predor obnavlja veliko pogosteje, kot nakazujejo njegove nastavljene ure, preverite omejitve bajtov in paketov, preden krivite uro. Nasičena povezava in neaktivna povezava z enakimi časovnimi nastavitvami bosta imeli vidno različni stopnji obnove ključev, in le ena od njiju sledi časovniku.

Vsak partner uveljavlja svojo politiko

IKEv2 se ne pogaja o eni življenjski dobi, ki bi jo morala oba partnerja prikazovati enako. Vsaka stran uporabi svojo lokalno politiko in lahko začne zamenjavo, ko se približa njena lastna meja, kot je opisano v RFC 7296 razdelek 2.8. Zato neskladje med nastavljenimi urami dveh partnerjev ni samodejno napaka, čeprav lahko zelo različne vrednosti povzročijo zmedo, če ena stran nenehno zamenjuje stanje, ki ga je druga pravkar namestila.

Usklajevanje pomeni združljivo vedenje: okna prekrivanja, dovolj dolga za izmenjavo, rezerve, ki puščajo prostor za ponovne poskuse, in spremljanje, ki kaže, katera stran je začela vsako obnovo.

Obnova ključev ni ponovna overitev

Obnova ključev osveži ključe v okviru obstoječega overjenega odnosa. Ponovna overitev ponovi preverjanje identitete, bodisi izmenjavo potrdil bodisi pogovor EAP. Oba tečeta po ločenih urnikih in uspešna obnova ne pove ničesar o tem, ali naj ima račun še dostop.

Ta razlika je pomembna za preklic. Onemogočanje računa, preklic potrdila ali končanje seje so odločitve o dostopu, ki zahtevajo izrecno politiko v izvedbi; ne izhajajo iz časovnika SA in obnova ključev lahko mirno teče za identiteto, ki ji je bila pravica že odvzeta.

Kaj zabeležiti za vsak predor

Zabeležite, katera povezava je sprožila obnovo, stare in nove identifikatorje, kateri prag je deloval in ali se je zamenjava končala znotraj prekrivanja. Ta štiri polja naredijo težavo z obnovo vidno, preden postane izpad, in ločijo agresivno politiko od tiste, ki spodleti.

Urnik odstranitve dostopa hranite ob tem zapisu, ne v njem. Kriptografska higiena in politika identitete sta različni kontroli, in predor, ki pravočasno vrti ključe, lahko še vedno drži sejo, ki je nihče ni nameraval obdržati.