Pse një çelës OpenVPN më i madh nuk e heq kohëmatësin e rindërtimit të çelësave

Zgjedhja e AES-256 ose e një çelësi më të gjatë nuk thotë asgjë për sa kohë mund të përdoret ai çelës. Forca e çelësit përshkruan algoritmin; politika e rindërtimit vendos kur sesioni nxjerr material të ri çelësi. Një vendosje mund të zgjedhë shifrimin më të fortë në dispozicion dhe gjithsesi të gabojë për përtëritjen, sepse dy vendimet merren në vende të ndryshme. Përzierja e tyre prodhon ose një ndryshim të panevojshëm shifrimi ose një sesion që i mbijeton në heshtje politikës së vet.

Lexoni cilësimet e rindërtimit përpara se të prekni shifrimin, dhe lexoni të dyja palët kur e bëni këtë.

Forca e çelësit dhe jetëgjatësia e çelësit u përgjigjen pyetjeve të ndryshme

Shifrimi dhe madhësia e çelësit kufizojnë sa i kushtueshëm do të ishte një sulm ndaj trafikut të kapur. Intervali i rindërtimit kufizon sa trafik mbron një çelës dhe sa kohë një çelës i zbuluar mbetet i dobishëm. Këto janë kontrolle të pavarura, dhe një shifrim më i fortë nuk e zgjat jetën e sigurt të një sesioni. Shumica e udhëzimeve që thonë 'përdorni AES-256' heshtin për përtëritjen, sepse përtëritja është çështje politike dhe jo zgjedhje algoritmi.

Shënoni të dyja në shënimet e vendosjes: çfarë mbron kanalin e të dhënave dhe çfarë shkakton zëvendësimin e çelësave të tij.

Rindërtimi ka tre nxitës, dhe secila palë mund t'i aktivizojë ata

OpenVPN 2.6 dokumenton nxitës të veçantë për rinegocimin bazuar në bajte, paketa dhe kohë të kaluar. Nxitësi i kohës është ai që shumica e vendosjeve e lënë në vlerën e paracaktuar, që do të thotë se një tunel i qetë gjithsesi rindërton çelësin sipas planit. Secila palë mund ta nisë shkëmbimin, dhe pala që nuk e nisi e ndjek atë. Prandaj ndryshimi i kohëmatësit në njërën anë nuk e përcakton sjelljen e sesionit; vlera e efektshme është e palës që nis e para.

Nxitësit e bajteve dhe paketave kanë rëndësi për ngarkesa me rendiment të lartë ose paketa të vogla, ku një politikë vetëm me kohë do të lejonte një çelës të mbronte shumë më tepër të dhëna sesa synohej. Nëse ata numërues mbeten të fikur, thojeni me qëllim në shënime në vend që ta lini vlerën e paracaktuar të pashqyrtuar.

Rindërtimi zbulon rrjedhën e vërtetimit

Rinegocimi është një shtrëngim duarsh i ri TLS, që do të thotë se rruga e vërtetimit ekzekutohet përsëri. Vendosjet me kode njëpërdorimëshe, shenja harduerike ose një sfidë RADIUS e zbulojnë këtë në mënyrën e vështirë: lidhja e parë funksionon dhe sesioni vdes një orë më vonë, kur shtrëngimi i dytë i duarve kërkon një kod që është përdorur tashmë. auth-gen-token ekziston për të mbuluar atë boshllëk duke i lejuar serverit të lëshojë një shenjë afatshkurtër për rinegocimin në vend që të kërkojë një hyrje të re interaktive.

Trajtojeni këtë si një problem të rrjedhës së punës që duhet zgjidhur me operatorin, jo si provë se përtëritja duhet fikur.

Provoni përtëritjen nën ngarkesë, jo në një sesion prej një minute

Një test pranimi që lidhet, bën ping një herë dhe shkëputet nuk arrin kurrë në rindërtim. Ekzekutoni një sesion mjaft të gjatë për të kaluar nxitësin e konfiguruar, mbani një transferim në punë gjatë gjithë kohës dhe shikoni regjistrat e të dyja palëve për shtrëngimin e ri të duarve. Pastaj provoni rrugën e dështimit: çfarë bën klienti nëse rinegocimi nuk mund të përfundojë. Një tunel që bie pastër është më i lehtë për t'u diagnostikuar sesa një që vazhdon të dërgojë në një sesion të vdekur.

Mos e lexoni një transferim të madh të suksesshëm si provë të një pragu kriptografik. Ai tregon vetëm se rruga dhe numëruesit përballuan kaq trafik.

Dokumentoni të dyja zgjedhjet

Regjistri kërkon dy rreshta: si mbrohen paketat dhe kur zëvendësohet ajo mbrojtje. Shtoni autoritetin për secilën vlerë, sepse shifrimi mund të vijë nga një paracaktim i shpërndarjes ndërsa kohëmatësi vjen nga një politikë e brendshme. Një operator i ardhshëm nuk duhet të nxjerrë asnjërën prej tyre nga një skedar konfigurimi.

Nëse përputhshmëria imponon një përjashtim, kufizojeni atë në një version dhe një datë përfundimi. Një përjashtim që i mbijeton arsyes së vet bëhet politika që askush nuk kujtohet ta ketë zgjedhur.