Vervang 'n uitgelekte VPN-sleutel: wat die bediener moet doen

'n Skootrekenaar met 'n kliëntsleutel het verlore geraak, en die eerste stap is gewoonlik om die plaaslike kopie te verwyder. Dit verander niks op die bediener nie, wat steeds 'n magtiging hou wat daardie sleutel sal aanvaar totdat iemand dit verwyder. Vervanging is twee bewerkings, en net die tweede een raak die ou geloofsbrief.

Die plaaslike kopie is nie die bron van gesag nie

'n VPN-geloofsbrief word aanvaar omdat die bediener se konfigurasie dit sê. Vir sertifikate beteken dit die sertifikaat skakel aan 'n vertroude uitreiker en verskyn nie op 'n herroepingslys wat die poortwerker raadpleeg nie. Vir WireGuard beteken dit die eweknie se publieke sleutel verskyn in die koppelvlakkonfigurasie. Om 'n lêer op 'n kliënt te verwyder, verwyder een kopie van 'n geheim en laat die aanvaardingsreël onveranderd.

Dit is waarom 'n gesteelde sleutel bly werk ná die ooglopende skoonmaak, en waarom die voorval onopgelos voel selfs wanneer die nuwe konfigurasie geïnstalleer is.

Begin by die bediener se reël en werk dan uitwaarts na die kliënt.

Sertifikate: die bediener hou die besluit

Reik die vervanging uit deur die uitreiker se eie proses sodat die nuwe identiteit aangeteken word, en trek dan die ou een terug met 'n ondertekende herroeping. Die poortwerker moet gekonfigureer wees om daardie herroepingsbron te raadpleeg, en dit moet weer laai, anders sit die lêer op die skyf terwyl die tonnel die ou reeksnommer bly aanvaar. Aktiewe sessies kan ook voortduur tot heronderhandeling, so beplan 'n herverbinding.

Bevestig dat die vervanging werk vir die beoogde toepassing, en bevestig dan deur 'n goedgekeurde proses dat die afgelê sertifikaat nie meer toegang vestig nie.

Dit is twee verskillende toetse en albei is nodig. RFC 5280 definieer die sertifikaat- en herroepingsemantiek waarop die poortwerker staatmaak.

WireGuard: die eweknie-sleutel is die identiteit

WireGuard het geen sertifikaatlaag nie: die eweknie se publieke sleutel is die identiteit, en die bediener se allowed-ips-inskrywing is die magtiging. Om die ou eweknie uit die koppelvlakkonfigurasie te verwyder, is die herroeping, en dit geld onmiddellik vir nuwe handdrukke.

Bestaande sessies eindig wanneer die volgende handdruk misluk, wat gewoonlik binne 'n paar minute gebeur eerder as onmiddellik.

Versprei die nuwe konfigurasie deur 'n kanaal wat jy met 'n wagwoord sou vertrou, want die private sleutel is die geloofsbrief. Hou een sleutel per toestel, sodat 'n enkele verlore toestel nie elke toestel dwing om te verander nie.

Wat anders in daardie bondel was

'n Kliëntbondel dra dikwels meer as die private sleutel: 'n statiese TLS-sleutel, 'n gebruikersnaam en wagwoord, 'n vooraf gedeelde geheim of 'n voorsieningstoken. Beperk die voorval tot wat werklik blootgestel is en roteer daardie items ook. Om die sertifikaat te roteer terwyl 'n gedeelde statiese sleutel in plek bly, sluit een deur en laat 'n ander oop.

As die bondel oor toestelle gedeel is, erf elke toestel wat dit dra die blootstelling.

Skryf neer wat geroteer is, want die volgende oudit sal vra.

Bewys weiering, teken dan die vervanging aan

Die vervanging is voltooi wanneer twee feite geld: die nuwe identiteit werk vir die beoogde diens, en die oue word geweier. Verifieer die tweede met die afgelê geloofsbrief uit 'n toetsomgewing, of met 'n beheerde poging wat die organisasie goedkeur, en lees die poortwerker se logboeke om te bevestig dat die weiering uit beleid kom eerder as uit 'n tikfout. Teken dan die ou identifiseerder, die nuwe een en die tyd van die verandering aan, want daardie drie waardes is wat 'n ouditeur nodig het om dit te rekonstrueer. Niks anders in die kaartjie sal die gaping verduidelik nie.

Hou private sleutels uit kaartjies en klets, en verwyder verouderde uitvoere uit berging en rugsteune volgens beleid.

'n Vervanging sonder 'n weieringstoets is 'n aanname eerder as 'n oplossing.