Rikthim çelësi, rilidhje apo riautentikim: cila ju duhet?

Një sesion që punon prej orësh nuk do t’i mbajë të njëjtat çelësa përgjithmonë, dhe kjo është e qëllimshme. Tre ngjarje të ndryshme quhen rrotullim çelësash: material i ri sesioni nën një shoqatë ekzistuese, një rindërtim i plotë i lidhjes dhe një përsëritje e kontrollit të identitetit. Secila ka një shkaktues, një kosto dhe një shenjë dështimi të ndryshme. Zgjidh të gabuarin dhe rregullimi ose nuk bën asgjë ose e rrëzon tunelin pa arsye.

Vendimi varet nga cila shtresë ka skaduar vërtet.

Tre operacione që quhen rrotullim

Rikthimi i çelësit krijon çelësa të rinj trafiku brenda marrëdhënies ekzistuese të kontrollit, duke përdorur mekanizmin që përcakton protokolli. IKEv2 e bën këtë me një shoqatë të re sigurie fëmijë, TLS 1.3 me një mesazh përditësimi çelësi, dhe WireGuard me një shtrëngim duarsh të ri kur arrihen kufijtë e tij të kohës ose të mesazheve. Adresat e tunelit dhe identiteti i autentikuar mbeten aty ku ishin.

Rilidhja e hedh poshtë lidhjen dhe e ndërton përsëri nga fillimi, gjë që përsërit caktimin e adresave, instalimin e rrugëve dhe çdo negociim të tentativës së parë.

Riautentikimi përsërit vetë provën e identitetit, e cila mund të përfshijë një kredencial, një certifikatë ose një faktor të dytë. Mund të ndodhë me ose pa rilidhje, në varësi të produktit.

Çfarë vënë re përdoruesit në rinovim

Rikthimi i çelësit duhet të jetë pothuajse i padukshëm. Identifikuesit e shoqatës ndryshojnë, numëruesit mund të ristartohen dhe aplikacionet mbajnë soketat e tyre; një pauzë e shkurtër në një drejtim është normale gjatë shkëmbimit. Të shohësh një identifikues të ri në një listë statusi nuk është provë e një defekti. Rreshti i regjistrit pas shkëmbimit është ai që të thotë nëse përfundoi.

Një ndërprerje e vërtetë në rinovim tregon një vend të caktuar. Mospërputhja e propozimit, një kredencial i skaduar ose një ndryshim rruge prodhojnë secili një rresht regjistri të ndryshëm, dhe vetëm njëri prej tyre rregullohet duke rregulluar kohëzgjatjet.

Ku ndryshojnë të tre në praktikë

Nëse e vetmja gjë që skadoi është materiali i çelësit, rikthe çelësin. Nëse adresa e palës, rruga ose lidhja NAT ndryshuan dhe paketat nuk mbërrijnë më, rilidhu. Nëse organizata kërkon një kontroll periodik identiteti, ai është riautentikim dhe asnjë rregullim i kohëzgjatjeve nuk e zëvendëson.

Vlerat e paracaktuara të protokollit zakonisht përmbajnë përgjigjen e saktë. WireGuard i ndërron çelësat pas një pragu kohe dhe vëllimi të dhënash pa asnjë veprim të përdoruesit; kohëzgjatjet e IKEv2 negociohen për çdo shoqatë fëmijë; tunelat e bazuar në TLS rrotullojnë çelësat brenda sesionit ekzistues. Rritja e kohëzgjatjeve për të shmangur një gabim të përsëritur e shtyn dështimin dhe e zgjat ekspozimin nëse një çelës kompromentohet.

Një paralajmërim ka rëndësi për sesionet e gjata: frekuenca e vetme nuk krijon fshehtësi përpara. Vetia varet nga mënyra se si çelësat e sesionit lidhen me sekretet afatgjata dhe nëse çelësat e vjetër shkatërrohen, gjë që është çështje dizajni dhe zbatimi, jo një cilësim.

Zgjidh vlerat e paracaktuara, pastaj regjistro fazën

Mbaj vlerat e paracaktuara të furnitorit, përveç rastit kur një kërkesë e dokumentuar thotë ndryshe, dhe nëse i ndryshon kohëzgjatjet, ndryshoji në të dyja palët. Pastaj regjistro se në cilën fazë arriti çdo ngjarje, në mënyrë që rasti tjetër të mund të kontrollohet kundrejt të njëjtës pikë të shtrëngimit të duarve.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Pas një korrigjimi, bëj një rinovim të kontrolluar dhe dërgo trafik të ri aplikacioni përmes shoqatës së re. Një tunel që raporton se është vendosur por nuk përçon asgjë është dështimi për të cilin ekziston ky kontroll.