IKEv2'de SA yaşam süreleri: yumuşak anahtar yenileme, sert sona erme, ayrı yeniden kimlik doğrulama

Zamanlayıcılar bir tünelin anahtarlarının ne zaman değiştirileceğine karar verir ve ilgili iki eşik sıklıkla tek eşik olarak okunur. Öyle değiller. Yumuşak yaşam süresi, mevcut güvenlik ilişkisi hâlâ trafik taşırken eşten bir yedek oluşturmasını ister; sert yaşam süresi ise yedek çalışsın ya da çalışmasın eski ilişkinin ortadan kalktığı son tarihtir. Aralarında, paketlerin boşluğa düşmemesi için var olan bir örtüşme penceresi bulunur.

Bir yaşam süresi aslında neyi sınırlar

IPsec güvenlik ilişkisi bir kriptografik durum demetidir: tek yön için anahtarlar, bir güvenlik parametresi indeksi, bir algoritma kümesi ve bir seçici. Yaşam süresi bu durumun ne kadar süre kullanılabileceğini sınırlar, bu da bir anahtarın ne kadar trafiği koruduğunu sınırlar. Bu, anahtar için bir sınırlama önlemidir; kullanıcı oturumunun ne kadar sürmesi gerektiğine dair bir ifade değildir.

IKE denetim ilişkilerinin kendi anahtarları ve kendi yaşam süreleri vardır; veri taşıyan alt ilişkilerden ayrıdır. İnsanların iki çizelgeyi karıştırdığı ilk yer burasıdır.

Yumuşak değiştirmeyi başlatır, sert eski durumu bitirir

Yumuşak eşik yaklaştığında eş bir değiştirme başlatır. Uygulamalar genellikle erken tetiklenir ve anı rastgeleleştirir; böylece yüzlerce tüneli olan bir üst düğüm tüm anahtarları aynı anda yenilemez. IKEv2'de değiştirme, taze nonce taşıyan bir CREATE_CHILD_SA değişimidir; kusursuz ileriye dönük gizlilik yapılandırılmışsa bir Diffie-Hellman değişimi de eklenir. Sonuç, yeni anahtarlara sahip yeni bir ilişki çiftidir.

Örtüşme önemlidir. Kısa bir süre eş hem eski hem yeni ilişkiyi tutabilir ve bir yakalama iki kimlik kümesi gösterebilir. Bu, mekanizmanın çalışmasıdır, arıza değil.

Sert eşik affetmez. Değiştirme o zamana kadar tamamlanmamışsa eski ilişki devreden çıkarılmalıdır ve yalnızca onunla korunan trafik durur. Sert sona ermeye kadar süren yinelenen başarısız anahtar yenilemeleri araştırılması gereken operasyonel sinyaldir, çünkü tünel her döngüde bir son tarihe dayanır.

Kullanım sınırları herhangi bir saatten önce devreye girebilir

Zaman tek sınır değildir. Uygulamalar bir anahtarın koruduğu baytları veya paketleri sınırlayabilir ve yoğun bir tünel, saatler süren bir zamanlayıcıdan çok önce bir kullanım sınırına ulaşır. strongSwan zaman, bayt ve paket için ayrı yaşam süresi ve marj ayarları sunar; yani etkin yenileme noktası önce gelen eşiktir, eksi yapılandırılmış marj.

Bir tünel yapılandırılmış saatlerinin ima ettiğinden çok daha sık yenileniyorsa, saati suçlamadan önce bayt ve paket sınırlarını kontrol edin. Aynı zaman ayarlarına sahip doymuş bir bağlantı ile boşta bir bağlantı belirgin biçimde farklı anahtar yenileme oranlarına sahip olacaktır ve yalnızca biri zamanlayıcıyı izler.

Her eş kendi politikasını uygular

IKEv2, iki eşin aynı şekilde göstermesi gereken tek bir yaşam süresi üzerinde anlaşmaz. Her taraf kendi yerel politikasını uygular ve kendi sınırı yaklaştığında değiştirmeyi başlatabilir, RFC 7296 bölüm 2.8'de açıklandığı gibi. Bu nedenle iki eşin yapılandırılmış saatleri arasındaki uyuşmazlık otomatik olarak kusur değildir, ancak bir taraf diğerinin yeni kurduğu durumu sürekli değiştiriyorsa çok farklı değerler karışıklık yaratabilir.

Koordinasyon uyumlu davranış demektir: değişim için yeterince uzun örtüşme pencereleri, yeniden denemeye yer bırakan marjlar ve her yenilemeyi hangi tarafın başlattığını gösteren izleme.

Anahtar yenileme yeniden kimlik doğrulama değildir

Anahtar yenileme, mevcut kimliği doğrulanmış ilişki altında anahtarları tazeler. Yeniden kimlik doğrulama, ister sertifika değişimi ister EAP konuşması olsun, kimlik kontrolünü yineler. İkisi ayrı çizelgelerde çalışır ve başarılı bir yenileme, hesabın hâlâ erişimi olması gerekip gerekmediği konusunda hiçbir şey söylemez.

Bu ayrım iptal için önemlidir. Bir hesabı devre dışı bırakmak, bir sertifikayı iptal etmek veya bir oturumu sonlandırmak, uygulamada açık politika gerektiren erişim kararlarıdır; SA zamanlayıcısından kaynaklanmazlar ve anahtar yenileme, hakları zaten alınmış bir kimlik için rahatça sürebilir.

Tünel başına neler kaydedilmeli

Yenilemeyi hangi ilişkinin tetiklediğini, eski ve yeni kimlikleri, hangi eşiğin devreye girdiğini ve değiştirmenin örtüşme içinde tamamlanıp tamamlanmadığını kaydedin. Bu dört alan, bir yenileme sorununu kesintiye dönüşmeden önce görünür kılar ve saldırgan bir politikayı başarısız olan bir politikadan ayırır.

Erişim kaldırma çizelgesini o kaydın içinde değil, yanında tutun. Kriptografik hijyen ve kimlik politikası farklı kontrollerdir ve anahtarları zamanında döndüren bir tünel hâlâ kimsenin tutmayı amaçlamadığı bir oturumu elinde tutuyor olabilir.