Thời gian sống của SA trong IKEv2: làm mới khóa mềm, hết hạn cứng, xác thực lại riêng biệt

Bộ đếm thời gian quyết định khi nào khóa của một đường hầm được thay thế, và hai ngưỡng liên quan thường được đọc như một. Không phải vậy. Thời gian sống mềm yêu cầu đối tác xây dựng phương án thay thế trong khi hiệp hội an ninh hiện tại vẫn chuyển lưu lượng, và thời gian sống cứng là thời hạn mà sau đó hiệp hội cũ biến mất, bất kể phương án thay thế có hoạt động hay không. Giữa chúng là một cửa sổ chồng lấn tồn tại để các gói tin không rơi vào khoảng trống.

Thời gian sống thực sự giới hạn điều gì

Một hiệp hội an ninh IPsec là một bó trạng thái mật mã: khóa cho một chiều, chỉ số tham số an ninh, một tập thuật toán và một bộ chọn. Thời gian sống giới hạn thời gian có thể dùng trạng thái đó, điều này giới hạn lượng lưu lượng mà một khóa bảo vệ. Đây là biện pháp ngăn chặn đối với khóa, không phải tuyên bố về việc phiên người dùng nên kéo dài bao lâu.

Các hiệp hội điều khiển IKE có khóa riêng và thời gian sống riêng, tách biệt với các hiệp hội con mang dữ liệu. Đây là nơi đầu tiên người ta nhầm lẫn hai lịch trình.

Loại mềm bắt đầu việc thay thế, loại cứng kết thúc trạng thái cũ

Khi ngưỡng mềm đến gần, đối tác khởi tạo việc thay thế. Các triển khai thường kích hoạt sớm và ngẫu nhiên hóa thời điểm để một thiết bị đầu có hàng trăm đường hầm không làm mới tất cả khóa cùng lúc. Trong IKEv2, việc thay thế là một trao đổi CREATE_CHILD_SA mang nonce mới, cộng thêm trao đổi Diffie-Hellman khi đã cấu hình tính bí mật chuyển tiếp hoàn hảo. Kết quả là một cặp hiệp hội mới với khóa mới.

Sự chồng lấn có ý nghĩa. Trong thời gian ngắn, đối tác có thể giữ cả hiệp hội cũ và mới, và một bản ghi có thể cho thấy hai bộ định danh. Đó là cơ chế đang hoạt động, không phải lỗi.

Ngưỡng cứng không khoan nhượng. Nếu việc thay thế chưa hoàn tất trước đó, hiệp hội cũ phải được loại bỏ và lưu lượng chỉ được bảo vệ bởi nó sẽ dừng lại. Các lần làm mới khóa thất bại lặp lại kéo dài đến hết hạn cứng là dấu hiệu vận hành để điều tra, vì đường hầm được chống đỡ bằng một thời hạn ở mỗi chu kỳ.

Các giới hạn sử dụng có thể kích hoạt trước bất kỳ đồng hồ nào

Thời gian không phải là giới hạn duy nhất. Các triển khai có thể giới hạn số byte hoặc gói được một khóa bảo vệ, và một đường hầm bận rộn sẽ đạt giới hạn sử dụng lâu trước một bộ đếm nhiều giờ. strongSwan cung cấp cài đặt riêng cho thời gian sống và biên cho thời gian, byte và gói, nghĩa là điểm làm mới hiệu quả là ngưỡng đến trước, trừ đi biên đã cấu hình.

Khi một đường hầm làm mới thường xuyên hơn nhiều so với số giờ đã cấu hình gợi ý, hãy kiểm tra giới hạn byte và gói trước khi đổ lỗi cho đồng hồ. Một liên kết bão hòa và một liên kết rảnh rỗi với cùng cài đặt thời gian sẽ có tốc độ làm mới khóa khác nhau rõ rệt, và chỉ một trong hai tuân theo bộ đếm.

Mỗi đối tác thực thi chính sách của riêng mình

IKEv2 không thương lượng một thời gian sống duy nhất mà cả hai đối tác phải hiển thị giống hệt nhau. Mỗi bên áp dụng chính sách cục bộ của mình và có thể khởi tạo việc thay thế khi giới hạn của mình đến gần, như được mô tả trong RFC 7296 mục 2.8. Vì vậy sự khác biệt giữa số giờ đã cấu hình của hai đối tác không tự động là khuyết điểm, mặc dù các giá trị rất khác nhau có thể gây xáo trộn nếu một bên liên tục thay thế trạng thái mà bên kia vừa cài đặt.

Phối hợp nghĩa là hành vi tương thích: cửa sổ chồng lấn đủ dài cho trao đổi, biên để lại chỗ cho việc thử lại, và giám sát cho thấy bên nào đã khởi tạo mỗi lần làm mới.

Làm mới khóa không phải là xác thực lại

Làm mới khóa làm mới các khóa trong quan hệ đã xác thực hiện có. Xác thực lại lặp lại việc kiểm tra danh tính, dù đó là trao đổi chứng chỉ hay cuộc trò chuyện EAP. Cả hai chạy theo lịch trình riêng và một lần làm mới thành công không nói gì về việc tài khoản có còn nên có quyền truy cập hay không.

Sự phân biệt đó quan trọng đối với việc thu hồi. Vô hiệu hóa tài khoản, thu hồi chứng chỉ hoặc chấm dứt phiên là những quyết định truy cập cần chính sách rõ ràng trong triển khai; chúng không bắt nguồn từ bộ đếm SA, và việc làm mới khóa có thể tiếp tục vui vẻ cho một danh tính đã bị tước quyền.

Cần ghi lại gì cho mỗi đường hầm

Ghi lại hiệp hội nào đã kích hoạt việc làm mới, các định danh cũ và mới, ngưỡng nào đã kích hoạt và liệu việc thay thế có hoàn tất trong cửa sổ chồng lấn hay không. Bốn trường đó làm cho một vấn đề làm mới trở nên hữu hình trước khi nó thành sự cố, và phân biệt một chính sách hung hăng với một chính sách đang thất bại.

Giữ lịch trình loại bỏ quyền truy cập bên cạnh bản ghi đó chứ không phải bên trong. Vệ sinh mật mã và chính sách danh tính là những kiểm soát khác nhau, và một đường hầm xoay khóa đúng giờ vẫn có thể đang giữ một phiên mà không ai định giữ lại.