Ponovna izmenjava ključa, ponovna povezava ali ponovna avtentikacija: kaj potrebujete?

Seja, ki deluje ure in ure, ne bo za vedno obdržala istih ključev, in to je namerno. Trije različni dogodki se imenujejo rotacija ključev: novo sejno gradivo pod obstoječo asociacijo, popolna ponovna zgraditev povezave in ponovitev preverjanja identitete. Vsak ima drugačen sprožilec, drugačno ceno in drugačen podpis napake. Izberete napačnega in popravek bodisi ne naredi ničesar bodisi brez razloga podre tunel.

Odločitev je odvisna od tega, kateri sloj je v resnici potekel.

Tri operacije, ki jih imenujejo rotacija

Ponovna izmenjava ključa ustvari sveže prometne ključe znotraj obstoječega krmilnega razmerja z mehanizmom, ki ga določa protokol. IKEv2 to naredi z novo podrejeno varnostno asociacijo, TLS 1.3 s sporočilom o posodobitvi ključa, WireGuard pa z novim rokovanjem, ko doseže svoje časovne omejitve ali omejitve števila sporočil. Naslovi tunela in avtenticirana identiteta ostanejo tam, kjer so bili.

Ponovna povezava zavrže povezavo in jo znova zgradi od začetka, kar ponovi dodeljevanje naslovov, namestitev poti in vsa pogajanja prvega poskusa.

Ponovna avtentikacija ponovi sam dokaz identitete, ki lahko vključuje poverilnice, potrdilo ali drugi dejavnik. Lahko se zgodi s ponovno povezavo ali brez nje, odvisno od izdelka.

Kaj uporabniki opazijo pri obnovitvi

Ponovna izmenjava ključa bi morala biti skoraj nevidna. Identifikatorji asociacije se spremenijo, števci se lahko ponastavijo in aplikacije obdržijo svoje vtičnice; kratek premor v eno smer je med izmenjavo običajen. Nov identifikator na seznamu stanja ni dokaz okvare. Vrstica dnevnika po izmenjavi pove, ali se je končala.

Dejanski prelom pri obnovitvi kaže na določeno mesto. Neujemanje predloga, potekle poverilnice ali sprememba poti vsak ustvari drugo vrstico dnevnika in le eno od njih se odpravi z nastavitvijo življenjskih dob.

Kje se tri v praksi razhajajo

Če je poteklo le ključno gradivo, zamenjajte ključ. Če so se naslov partnerja, pot ali vez NAT spremenili in paketi ne prihajajo več, se znova povežite. Če organizacija zahteva redno preverjanje identitete, je to ponovna avtentikacija in nobena nastavitev življenjske dobe je ne nadomesti.

Privzete vrednosti protokolov običajno vsebujejo pravi odgovor. WireGuard zamenja ključe po časovnem pragu in pragu količine podatkov brez uporabnikovega ukrepanja; življenjske dobe IKEv2 se pogajajo za vsako podrejeno asociacijo; tuneli na osnovi TLS vrtijo ključe znotraj obstoječe seje. Zviševanje življenjskih dob, da bi se izognili ponavljajoči se napaki, odloži napako in podaljša izpostavljenost, če je ključ razkrit.

Za dolge seje je pomembna ena pridržka: sama pogostnost ne ustvari vnaprejšnje tajnosti. Ta lastnost je odvisna od tega, kako so sejni ključi povezani z dolgoročnimi skrivnostmi in ali se stari ključi uničijo, kar je vprašanje zasnove in izvedbe, ne nastavitve.

Izberite privzete vrednosti in nato zabeležite fazo

Obdržite privzete vrednosti dobavitelja, razen če dokumentirana zahteva ne pravi drugače, in če življenjske dobe sploh spreminjate, jih spremenite na obeh straneh. Nato zabeležite, do katere faze je prišel vsak dogodek, da bo naslednji pojav mogoče preveriti glede na isto točko rokovanja.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Po popravku izvedite nadzorovano obnovitev in pošljite svež promet aplikacij skozi novo asociacijo. Tunel, ki poroča, da je vzpostavljen, a ničesar ne posreduje, je napaka, zaradi katere ta preveritev obstaja.