Kwa nini ufunguo mkubwa wa OpenVPN hauondoi kipima muda cha ufunguo upya

Kuchagua AES-256 au ufunguo mrefu zaidi hakusemi chochote kuhusu muda ambao ufunguo huo unaweza kutumika. Nguvu ya ufunguo inaeleza algoriti; sera ya ufunguo upya huamua ni lini kikao kinapata nyenzo mpya ya ufunguo. Usambazaji unaweza kuchagua usimbaji fiche wenye nguvu zaidi unaopatikana na bado ukakosea kuhusu uhuishaji upya, kwa sababu maamuzi hayo mawili hufanywa mahali tofauti. Kuyachanganya huzalisha ama mabadiliko ya usimbaji fiche yasiyo ya lazima au kikao kinachoishi kimya kupita sera yake.

Soma mipangilio ya ufunguo upya kabla ya kugusa usimbaji fiche, na soma pande zote mbili unapofanya hivyo.

Nguvu ya ufunguo na maisha ya ufunguo hujibu maswali tofauti

Usimbaji fiche na ukubwa wa ufunguo huweka kikomo cha gharama ya shambulizi dhidi ya trafiki iliyonaswa. Muda wa ufunguo upya huweka kikomo cha kiasi cha trafiki kinacholindwa na ufunguo mmoja na muda ambao ufunguo uliofichuliwa unabaki kuwa na manufaa. Hizi ni vidhibiti huru, na usimbaji fiche wenye nguvu zaidi hauongezi maisha salama ya kikao. Miongozo mingi inayosema 'tumia AES-256' haisemi kuhusu uhuishaji upya, kwa sababu uhuishaji upya ni suala la sera na si uchaguzi wa algoriti.

Andika vyote viwili katika maelezo ya usambazaji: kile kinacholinda chaneli ya data na kile kinachochochea kubadilishwa kwa funguo zake.

Ufunguo upya una vichocheo vitatu, na upande wowote unaweza kuvichochea

OpenVPN 2.6 inaeleza vichocheo tofauti vya majadiliano upya kulingana na baiti, pakiti na muda uliopita. Kichocheo cha muda ndicho ambacho usambazaji mwingi huacha kwenye chaguo-msingi, ikimaanisha kuwa handaki tulivu bado hufanya ufunguo upya kwa ratiba. Upande wowote unaweza kuanzisha ubadilishanaji, na upande ambao haukuanzisha hufuata. Kwa hiyo kubadilisha kipima muda upande mmoja hakuweki tabia ya kikao; thamani yenye athari ni ya upande unaoanza kwanza.

Vichocheo vya baiti na pakiti ni muhimu kwa mizigo yenye kasi kubwa au pakiti ndogo, ambapo sera ya muda pekee ingeruhusu ufunguo mmoja kulinda data nyingi zaidi kuliko ilivyokusudiwa. Ikiwa vihesabu hivyo vinabaki vimezimwa, sema hivyo kwa makusudi katika maelezo badala ya kuacha chaguo-msingi bila kuchunguzwa.

Ufunguo upya hufichua mtiririko wa uthibitishaji

Majadiliano upya ni salamu mpya ya TLS, ikimaanisha kuwa njia ya uthibitishaji inaendeshwa tena. Usambazaji unaotumia misimbo ya matumizi ya mara moja, tokeni za maunzi au changamoto ya RADIUS hugundua hili kwa njia ngumu: muunganisho wa kwanza hufanya kazi na kikao hufa saa moja baadaye wakati salamu ya pili inaomba msimbo ambao tayari umetumika. auth-gen-token upo ili kuziba pengo hilo kwa kuruhusu seva kutoa tokeni ya muda mfupi kwa ajili ya majadiliano upya badala ya kudai kuingia mpya kwa mwingiliano.

Chukulia hili kama tatizo la mtiririko wa kazi la kutatuliwa na mwendeshaji, na si kama ushahidi kwamba uhuishaji upya unapaswa kuzimwa.

Jaribu uhuishaji upya chini ya mzigo, si katika kikao cha dakika moja

Jaribio la ukubalifu linalounganisha, kupiga pingi mara moja na kukatisha hakika hufikia ufunguo upya. Endesha kikao kirefu cha kutosha kuvuka kichocheo kilichosanidiwa, weka uhamishaji ukiendelea wakati wote, na angalia kumbukumbu za pande zote mbili kwa salamu mpya. Kisha jaribu njia ya kushindwa: mteja hufanya nini ikiwa majadiliano upya hayawezi kukamilika. Handaki inayoanguka kwa usafi ni rahisi kugundua kuliko ile inayoendelea kutuma kwenye kikao kilichokufa.

Usisome uhamishaji mkubwa uliofaulu kama ushahidi wa kizingiti cha kriptografia. Unaonyesha tu kwamba njia na vihesabu vimevumilia trafiki hiyo.

Nyaraka chaguo zote mbili

Rekodi inahitaji mistari miwili: jinsi pakiti zinalindwa, na lini ulinzi huo unabadilishwa. Ongeza mamlaka kwa kila thamani, kwa sababu usimbaji fiche unaweza kutoka kwa chaguo-msingi la usambazaji wakati kipima muda kinatoka kwa sera ya ndani. Mwendeshaji wa baadaye hapaswi kukisia chochote kati ya hivyo kutoka kwa faili ya usanidi.

Ikiwa upatanifu unalazimisha ubaguzi, uweke kwa toleo na tarehe ya mwisho. Ubaguzi unaoishi zaidi ya sababu yake unakuwa sera ambayo hakuna anayekumbuka aliichagua.