Anahtar yenileme, yeniden bağlanma veya yeniden kimlik doğrulama: hangisi gerekli?

Saatlerdir açık olan bir oturum aynı anahtarları sonsuza kadar tutmaz ve bu tasarım gereğidir. Üç farklı olay anahtar rotasyonu olarak adlandırılır: mevcut bir ilişkilendirme altında yeni oturum malzemesi, bağlantının tamamen yeniden kurulması ve kimlik denetiminin yinelenmesi. Her birinin tetikleyicisi, maliyeti ve hata imzası farklıdır. Yanlış olanı seçerseniz düzeltme ya hiçbir şey yapmaz ya da tüneli sebepsiz düşürür.

Karar, gerçekte hangi katmanın süresinin dolduğuna bağlıdır.

Rotasyon denilen üç işlem

Anahtar yenileme, protokolün tanımladığı mekanizmayı kullanarak mevcut denetim ilişkisi içinde yeni trafik anahtarları oluşturur. IKEv2 bunu yeni bir alt güvenlik ilişkilendirmesiyle, TLS 1.3 bir anahtar güncelleme mesajıyla, WireGuard ise zaman veya mesaj sınırlarına ulaşıldığında yeni bir el sıkışmayla yapar. Tünel adresleri ve kimliği doğrulanmış kimlik yerinde kalır.

Yeniden bağlanma bağlantıyı atar ve baştan yeniden kurar; bu, adres atamayı, yönlendirme kurulumunu ve ilk denemenin yaptığı tüm görüşmeleri yineler.

Yeniden kimlik doğrulama, kimlik kanıtının kendisini yineler; buna bir kimlik bilgisi, sertifika veya ikinci bir faktör dahil olabilir. Ürüne bağlı olarak yeniden bağlanmayla veya onsuz gerçekleşebilir.

Kullanıcıların yenilemede fark ettiği şey

Anahtar yenileme neredeyse görünmez olmalıdır. İlişkilendirme tanımlayıcıları değişir, sayaçlar sıfırlanabilir ve uygulamalar soketlerini korur; değişim sırasında tek yönde kısa bir duraklama normaldir. Durum listesinde yeni bir tanımlayıcı görmek arıza kanıtı değildir. Değişimden sonra gelen günlük satırı, tamamlanıp tamamlanmadığını söyler.

Yenilemede gerçek bir kopma belirli bir yeri işaret eder. Teklif uyuşmazlığı, süresi dolmuş kimlik bilgisi veya yol değişikliği her biri farklı bir günlük satırı üretir ve bunlardan yalnızca biri ömür sürelerini ayarlayarak düzeltilir.

Üçünün pratikte ayrıldığı yer

Süresi dolan tek şey anahtar malzemesiyse anahtarı yenileyin. Eş adresi, yol veya NAT bağlaması değiştiyse ve paketler artık gelmiyorsa yeniden bağlanın. Kuruluş düzenli bir kimlik denetimi istiyorsa bu yeniden kimlik doğrulamadır ve hiçbir ömür ayarı onun yerini tutmaz.

Protokol varsayılanları genellikle doğru yanıtı içerir. WireGuard, kullanıcı işlemi olmadan zaman ve veri hacmi eşiğinden sonra anahtarları değiştirir; IKEv2 ömür süreleri her alt ilişkilendirme için görüşülür; TLS tabanlı tüneller anahtarları mevcut oturum içinde döndürür. Tekrarlayan bir hatadan kaçınmak için ömür sürelerini yükseltmek hatayı erteler ve anahtar ele geçirilirse maruziyeti uzatır.

Uzun oturumlar için bir uyarı önemlidir: yalnızca sıklık ileriye dönük gizlilik yaratmaz. Bu özellik, oturum anahtarlarının uzun vadeli sırlarla nasıl ilişkili olduğuna ve eski anahtarların yok edilip edilmediğine bağlıdır; bu bir ayar değil, tasarım ve uygulama sorunudur.

Varsayılanları seçin, sonra aşamayı kaydedin

Belgelenmiş bir gereksinim aksini söylemiyorsa satıcının varsayılanlarını koruyun ve ömür sürelerini değiştiriyorsanız iki tarafta da değiştirin. Ardından her olayın hangi aşamaya ulaştığını kaydedin, böylece bir sonraki durum el sıkışmanın aynı noktasına karşı denetlenebilsin.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Düzeltmeden sonra kontrollü bir yenileme yapın ve yeni ilişkilendirme üzerinden taze uygulama trafiği gönderin. Kurulduğunu bildiren ama hiçbir şey iletmeyen tünel, bu denetimin yakalamak için var olduğu hatadır.