Daha büyük bir OpenVPN anahtarı neden anahtar yenileme zamanlayıcısını kaldırmaz

AES-256 veya daha uzun bir anahtar seçmek, o anahtarın ne kadar süre kullanılabileceği hakkında hiçbir şey söylemez. Anahtar gücü algoritmayı tanımlar; yenileme politikası oturumun ne zaman yeni anahtar materyali türeteceğine karar verir. Bir kurulum mevcut en güçlü şifreyi seçip yenileme konusunda yine de yanılabilir, çünkü iki karar farklı yerlerde alınır. Bunları karıştırmak ya gereksiz bir şifre değişikliğine ya da politikasını sessizce aşan bir oturuma yol açar.

Şifreye dokunmadan önce yenileme ayarlarını okuyun ve bunu yaparken iki tarafı da okuyun.

Anahtar gücü ve anahtar ömrü farklı soruları yanıtlar

Şifre ve anahtar boyutu, yakalanan trafiğe yapılacak bir saldırının ne kadar pahalı olacağını sınırlar. Yenileme aralığı, bir anahtarın ne kadar trafiği koruduğunu ve açığa çıkmış bir anahtarın ne kadar süre yararlı kaldığını sınırlar. Bunlar bağımsız ayarlardır ve daha güçlü bir şifre oturumun güvenli ömrünü uzatmaz. 'AES-256 kullanın' diyen çoğu kılavuz yenileme konusunda sessizdir, çünkü yenileme bir algoritma seçimi değil politika sorunudur.

İkisini de kurulum notlarına yazın: veri kanalını neyin koruduğu ve anahtarlarının değişimini neyin tetiklediği.

Yenilemenin üç tetikleyicisi vardır ve her iki taraf da bunları çalıştırabilir

OpenVPN 2.6, bayt, paket ve geçen zamana dayalı yeniden müzakere için ayrı tetikleyiciler belgeler. Zaman tetikleyicisi, çoğu kurulumun varsayılan değerde bıraktığıdır; yani sessiz bir tünel bile takvime göre anahtar yeniler. Değişimi her iki taraf da başlatabilir ve başlatmayan taraf onu izler. Bu nedenle zamanlayıcıyı tek tarafta değiştirmek oturumun davranışını belirlemez; etkin değer ilk başlatan tarafın değeridir.

Bayt ve paket tetikleyicileri yüksek verimli veya küçük paketli iş yüklerinde önemlidir; burada yalnızca zamana dayalı bir politika bir anahtarın amaçlanandan çok daha fazla veriyi korumasına izin verirdi. Bu sayaçlar kapalı kalırsa, varsayılanı incelenmeden bırakmak yerine bunu notlarda bilerek belirtin.

Yenileme kimlik doğrulama akışını açığa çıkarır

Yeniden müzakere yeni bir TLS el sıkışmasıdır, yani kimlik doğrulama yolu yeniden çalışır. Tek kullanımlık kodlar, donanım belirteçleri veya RADIUS meydan okuması kullanan kurulumlar bunu zor yoldan öğrenir: ilk bağlantı çalışır ve ikinci el sıkışması zaten kullanılmış bir kodu istediğinde oturum bir saat sonra ölür. auth-gen-token bu boşluğu kapatmak için vardır: sunucunun yeni bir etkileşimli oturum açma talep etmek yerine yeniden müzakere için kısa ömürlü bir belirteç vermesini sağlar.

Bunu operatörle çözülecek bir iş akışı sorunu olarak görün, yenilemenin kapatılması gerektiğine dair kanıt olarak değil.

Yenilemeyi yük altında test edin, bir dakikalık oturumda değil

Bağlanıp bir kez ping atan ve bağlantıyı kesen bir kabul testi yenilemeye asla ulaşmaz. Yapılandırılmış tetikleyiciyi aşacak kadar uzun bir oturum çalıştırın, bu süre boyunca bir aktarımı sürdürün ve yeni el sıkışması için her iki tarafın günlüklerini izleyin. Ardından hata yolunu test edin: yeniden müzakere tamamlanamazsa istemcinin ne yaptığını. Temiz düşen bir tünel, ölü bir oturuma göndermeye devam eden bir tünelden daha kolay teşhis edilir.

Başarılı büyük bir aktarımı kriptografik eşik kanıtı olarak okumayın. Yalnızca yolun ve sayaçların bu kadar trafiğe dayandığını gösterir.

Her iki seçimi belgeleyin

Kayıt iki satır gerektirir: paketlerin nasıl korunduğu ve bu korumanın ne zaman değiştirildiği. Her değer için yetkiyi ekleyin, çünkü şifre dağıtım varsayılanından gelebilirken zamanlayıcı iç politikadan gelebilir. Gelecekteki bir operatör ikisini de yapılandırma dosyasından çıkarmak zorunda kalmamalıdır.

Uyumluluk bir istisnayı zorunlu kılıyorsa, onu bir sürüme ve bir bitiş tarihine sınırlayın. Nedenini aşan bir istisna, kimsenin seçtiğini hatırlamadığı politika haline gelir.