ทำไมการเข้ารหัสเพียงอย่างเดียวจึงหยุดแพ็กเก็ตที่ส่งซ้ำไม่ได้

แพ็กเก็ตที่ได้รับการป้องกันไม่หมดอายุในเชิงการเข้ารหัส แพ็กเก็ตที่ใช้ได้เมื่อห้านาทีที่แล้วจึงยังใช้ได้ตอนนี้ เพราะการเข้ารหัสและการรักษาความสมบูรณ์ไม่ได้บอกอะไรเกี่ยวกับเวลาที่ไบต์ถูกสร้างขึ้น ผู้โจมตีที่ดักจับและส่งข้อมูลซ้ำไม่จำเป็นต้องถอดรหัส นี่คือเหตุผลที่ทุกโปรโตคอลอุโมงค์ที่จริงจังพกสถานะลำดับไว้เคียงข้างกุญแจ

กลไกมีขนาดเล็ก และโหมดความล้มเหลวของมันสับสนกับแพ็กเก็ตสูญหายได้ง่าย

ข้อความเข้ารหัสที่ใช้ได้ไม่ใช่ข้อความเข้ารหัสที่สดใหม่

การพิสูจน์ตัวตนตอบคำถามเดียวว่า ไบต์เหล่านี้มาจากผู้ถือกุญแจโดยไม่ถูกแก้ไขหรือไม่. มันไม่ตอบว่าเป็นครั้งแรกที่ผู้รับเห็นหรือไม่ แพ็กเก็ตที่ส่งซ้ำผ่านการทดสอบแรกอย่างสมบูรณ์ นี่คือเหตุผลที่การตรวจสอบความสมบูรณ์เพียงอย่างเดียวหยุดการส่งซ้ำไม่ได้ และเป็นเหตุผลที่โปรโตคอลต้องการกฎที่สองเกี่ยวกับการยอมรับ ผู้รับที่เพียงพิสูจน์ตัวตนไม่มีการป้องกันจากผู้โจมตีที่มีบันทึก

กฎนั้นถูกทั้งในการนำไปใช้และถูกทั้งในการอธิบาย คือยอมรับแพ็กเก็ตที่ได้รับการป้องกันที่กำหนดหนึ่งครั้งภายใต้กุญแจที่กำหนด ทุกอย่างอื่นในด้านนี้สืบเนื่องมาจากวิธีที่การนำไปใช้ติดตามครั้งเดียวนั้น

การอ่านการทิ้งเนื่องจากการส่งซ้ำว่าเป็นความล้มเหลวในการถอดรหัสจะส่งคุณไปยังระบบย่อยที่ผิดทั้งหมด

หมายเลขลำดับและหน้าต่าง

IPsec ESP พกหมายเลขลำดับ และผู้รับเก็บหน้าต่างเลื่อนของค่าที่เพิ่งยอมรับ ขณะที่ ข้อกำหนด ESP อธิบายขนาดหน้าต่างเริ่มต้นและตัวเลือกในการขยาย WireGuard ใช้เส้นทางอื่นด้วยตัวนับต่อกุญแจและการตรวจสอบอย่างชัดเจนต่อมัน ทั้งสองแบบไม่ถือว่าแพ็กเก็ตมาถึงตามลำดับ เพราะเครือข่ายจริงจัดลำดับใหม่ ทั้งสองทนการจัดลำดับใหม่ และไม่มีแบบใดทนการซ้ำ

หน้าต่างคือสิ่งที่ทำให้ความอดทนนั้นเป็นไปได้ แพ็กเก็ตที่อยู่หลังค่าสูงสุดที่เห็นเล็กน้อยยังอาจถูกยอมรับได้หากไม่เคยถูกยอมรับมาก่อน ส่วนที่อยู่ไกลหลังหรือที่มีช่องถูกทำเครื่องหมายไว้แล้วจะถูกทิ้ง เพิ่มขนาดหน้าต่างแล้วคุณจะทนการจัดลำดับใหม่ได้มากขึ้นด้วยต้นทุนของสถานะต่อสมาคมที่มากขึ้น

ตัวนับวินิจฉัยแสดงว่าคุณอยู่ในกรณีใด การทิ้งเนื่องจากการส่งซ้ำเพิ่มตัวนับเฉพาะแทนข้อผิดพลาดทั่วไป และการอ่านตัวนับนั้นคือการสังเกตที่มีประโยชน์ครั้งแรก

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

สถานะเป็นของกุญแจ ไม่ใช่ของโฮสต์

สถานะตัวนับผูกกับสมาคมความปลอดภัยหรือยุคของกุญแจ การเปลี่ยนกุญแจจึงสร้างบริบทใหม่และพื้นที่ลำดับของตัวเอง การล้างตัวนับโดยไม่เปลี่ยนกุญแจ หรือการใช้สมาคมซ้ำหลังการรีเซ็ตด้วยมือ ทำลายสมมติฐานที่หน้าต่างของผู้รับพึ่งพา นี่คือเหตุผลที่มีการเปลี่ยนกุญแจที่ขับเคลื่อนโดยโปรโตคอลแทนปุ่มรีเซ็ตที่ผู้ปฏิบัติงานมองเห็น

เมื่ออุโมงค์ทำงานผิดปกติหลังการแทรกแซงด้วยมือ ให้ถามว่าการแทรกแซงนั้นแตะสถานะลำดับหรือไม่ การกำหนดค่าที่ดูเหมือนกันอาจทำงานต่างกันเพราะสถานะที่สืบทอดมาไม่ใช่สถานะที่คาดหวัง

วินิจฉัยสาเหตุก่อนปิดสิ่งใด

การสูญหาย การจัดลำดับใหม่ การรับส่งซ้ำ และข้อบกพร่องในการนำไปใช้ ล้วนปรากฏเป็นการส่งซ้ำ และมีเพียงอย่างเดียวที่เป็นปัญหาการส่งซ้ำ การปิดการตรวจสอบเพื่อระงับเสียงรบกวนจะลบคุณสมบัติที่คุณพึ่งพาและทำให้หาเหตุเดิมได้ยากขึ้น เพราะตอนนี้การส่งซ้ำไม่มีคำอธิบายใด ๆ เลย

เก็บหลักฐานอย่างจำกัด คือตัวระบุสมาคม หมายเลขลำดับ และตัวนับ โดยไม่รวมเพย์โหลด เท่านี้พอจะแยกสำเนาออกจากการมาถึงที่ถูกจัดลำดับใหม่ และไม่เปลี่ยนไฟล์วินิจฉัยของคุณเป็นสำเนาของทราฟฟิกผู้ใช้

สิ่งที่การตรวจสอบไม่ได้สัญญา

การป้องกันการส่งซ้ำเป็นคุณสมบัติของการประมวลผลแพ็กเก็ตภายในโปรโตคอลเดียว ไม่ได้หมายความว่าผู้ปฏิบัติงานไม่เก็บบันทึก ว่าเว็บไซต์ไม่สามารถรู้จักบัญชี หรือว่าเซสชันไม่ระบุตัวตน นั่นเป็นคำถามแยกเกี่ยวกับระบบแยก และการออกแบบป้องกันการส่งซ้ำที่แข็งแกร่งไม่ได้ตอบข้อใดเลย

ซอฟต์แวร์ที่ได้รับการดูแลด้วยการตั้งค่าที่รองรับคือการควบคุมเชิงปฏิบัติที่ผู้ใช้มี โปรโตคอลจัดการแพ็กเก็ต ส่วนที่เหลือยังเป็นการตัดสินใจเชิงปฏิบัติการ