Ci sono delle migliori pratiche per quanto riguarda la modifica delle chiavi precondivise IPSec per motivi di sicurezza? Ovviamente, le aziende più grandi avrebbero un problema a cambiarle e quindi a spingere la nuova chiave verso le macchine degli utenti. Qualche idea?
La modifica della chiave offre vantaggi solo se vengono soddisfatte tutte le seguenti proprietà:
Ora che abbiamo computer e reti, queste tre proprietà vengono soddisfatte solo di rado. L'abitudine di cambiare le chiavi viene regolarmente dai vecchi tempi, prima dei computer e in contesti militari. Gli eserciti sanno che devono affrontare, in qualsiasi momento, un numero di agenti infiltrati; tali agenti possono fare del male, ma hanno bisogno di tempo e presenza costante di quello; e gli algoritmi crittografici degli anni '30 erano invariabilmente un po 'deboli, rendendo inevitabili le perdite graduali. In un esercito di quell'epoca, cambiare le chiavi su base settimanale o giornaliera aveva molto senso. Nel 2014 con computer e reti, molto meno. Algoritmi e protocolli utilizzati in IPsec possono crittografare migliaia di terabyte senza perdite di alcunché sulla chiave; e se un intruso apprende la chiave, allora metterà in atto i suoi misfatti in una questione di secondi , non settimane. Possiamo quindi dire che la modifica delle chiavi pre-condivise per IPsec è per lo più inutile .
Potresti ancora aver bisogno di cambiare le chiavi, come una "buona pratica", non per prevenire o contenere attacchi, ma per alleviare le preoccupazioni di chi ancora pensa con la mentalità degli anni '30 e credi che la "sicurezza" sia una specie di merce che puoi ottenere alla rinfusa e accumulare attraverso le migliori pratiche. Poiché non esiste una vera base scientifica per una frequenza di rinnovo chiave, ogni organizzazione che pubblica "migliori pratiche" tende a fare il proprio mix, con frequenze che variano tipicamente da "una volta alla settimana" e "ogni tre mesi".
Assicurarsi che ogni client per la tua VPN abbia la sua chiave pre-condivisa, distinta da altri client, è un'altra questione. Questo è molto utile, perché consente di sfrattare praticamente qualsiasi client senza doversi fidare di lui per non utilizzare più la sua chiave e senza ridistribuire una nuova chiave a tutti gli altri client. Quindi non rinnovare le chiavi su base regolare; invece, assicurati che ogni client abbia la sua chiave. Questo sarà molto più utile per la sicurezza.
Leggi altre domande sui tag ipsec