Поновна размена кључа, поновно повезивање или поновна аутентификација: шта вам треба?

Сесија која ради сатима неће заувек задржати исте кључеве и то је намерно. Три различита догађаја називају се ротацијом кључева: нови сесијски материјал под постојећом асоцијацијом, потпуна обнова везе и понављање провере идентитета. Сваки има другачији окидач, другачију цену и другачији потпис квара. Изаберете ли погрешан, поправка или не ради ништа или без разлога руши тунел.

Одлука зависи од тога који је слој стварно истекао.

Три операције које називају ротацијом

Поновна размена кључа ствара нове кључеве промета унутар постојећег контролног односа, користећи механизам који протокол дефинише. IKEv2 то чини новом подређеном безбедносном асоцијацијом, TLS 1.3 поруком за ажурирање кључа, а WireGuard новим руковањем кад достигне своја временска или поруковна ограничења. Адресе тунела и аутентификовани идентитет остају где су били.

Поновно повезивање одбацује везу и гради је изнова од почетка, што понавља доделу адреса, инсталацију рута и свако преговарање првог покушаја.

Поновна аутентификација понавља сам доказ идентитета, што може укључити акредитиве, сертификат или други фактор. Може се догодити са поновним повезивањем или без њега, у зависности од производа.

Шта корисници примете при обнови

Поновна размена кључа требало би да буде готово невидљива. Идентификатори асоцијације се мењају, бројачи се могу ресетовати, а апликације задржавају своје сокете; кратка пауза у једном смеру је нормална током размене. Нови идентификатор на листи стања није доказ квара. Линија записа која следи после размене говори вам да ли је завршена.

Стварни прекид при обнови упућује на нешто конкретно. Неусклађеност предлога, истекле акредитиве или промена путање сваки даје другачију линију записа, и само се један од њих поправља подешавањем трајања.

Где се три разилазе у пракси

Ако је истекао само кључни материјал, поново размените кључ. Ако су се адреса партнера, рута или NAT веза променили и пакети више не долазе, поново се повежите. Ако организација захтева периодичну проверу идентитета, то је поновна аутентификација и никакво подешавање трајања је не замењује.

Подразумеване вредности протокола обично садрже тачан одговор. WireGuard поново размењује кључ после временског и податковног прага без икакве радње корисника; трајања IKEv2 преговарају се за сваку подређену асоцијацију; тунели засновани на TLS-у ротирају кључеве унутар постојеће сесије. Подизање трајања да би се избегла грешка која се понавља одлаже квар и продужава изложеност ако кључ буде компромитован.

Једна напомена важна је за дуге сесије: сама учесталост не ствара forward secrecy. Својство зависи од тога како су сесијски кључеви повезани с дугорочним тајнама и уништавају ли се стари кључеви, што је питање дизајна и имплементације, а не поставке.

Изаберите подразумеване вредности, затим забележите фазу

Задржите подразумеване вредности добављача осим ако документовани захтев не каже другачије, и промените трајања на оба партнера ако их уопште мењате. Затим забележите до које је фазе сваки догађај стигао, како би се следећи случај могао проверити према истој тачки руковања.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

После исправке изведите контролисану обнову и пошаљите свеж промет апликација кроз нову асоцијацију. Тунел који извештава да је успостављен али ништа не прослеђује јесте квар због којег ова провера постоји.