إعادة التثبيت لم تُلغِ بيانات اعتماد VPN المسروقة

مسح حاسوب محمول مخترق يبدو وكأنه نهاية الحادث. لكنه عادةً منتصفه. كلمة مرور أو رمز جلسة أو ملف تعريف VPN مُصدَّر نُسخ من ذلك الجهاز يبقى بعد إعادة التثبيت سليمًا تمامًا، لأن شيئًا في تهيئة القرص لا يصل إلى الخادم الذي يقبله. استعادة الجهاز واستعادة الحساب مهمتان بساعتين مختلفتين.

حادثان، ساعتان

عمل الجهاز محلي وسريع: إعادة البناء، والتحديث، واستعادة البيانات. أما عمل الحساب فبعيد وأبطأ، لأنه يعتمد على ما تكشفه الجهة المزوّدة وعلى ما إذا كنت لا تزال تتحكم في قناة الاستعادة. إنجاز العمل السريع أولًا يبدو منتجًا ويترك التعرض الفعلي تمامًا حيث كان.

تعامل مع الحاسوب المحمول كغير موثوق حتى ينتهي عمل الحساب. استخدامه لتنفيذ استعادة الحساب يعني استخدام جهاز قد يكون عليه بالفعل مسجّل لوحة مفاتيح.

ثلاثة شروط تحدد الترتيب

حدّد هذه الأمور قبل أن تلمس أي شيء، لأنها تقرر ما إذا كانت الاستعادة تستغرق خمس عشرة دقيقة أم تصعيدًا إلى الدعم.

أولًا، ما الذي كان على الجهاز: كلمة مرور كتبتها، أو شهادة عميل مع مفتاحها الخاص، أو رمز جلسة محفوظ، أو الثلاثة جميعًا. ثانيًا، ما الذي تسمح لك الجهة المزوّدة بإلغائه بنفسك، إذ تعرض بعض الخدمات قوائم الأجهزة والجلسات بينما تكتفي أخرى بمربع كلمة مرور ولا شيء غيره. ثالثًا، هل قناة الاستعادة ما زالت لك، أي صندوق البريد ورقم الهاتف المرتبطان بالحساب. إذا كان الثالث مخترقًا، فكل شيء آخر ينتظر.

اكتب الإجابات. الحادث الذي لا تستطيع فيه أن تقول ما الذي نُسخ هو حادث لا تستطيع إغلاقه.

استبدل كل ما يمكن إعادة تشغيله

كل ما يمكن إعادة تشغيله يجب استبداله، لا مجرد تغييره على الجهاز الجديد. كلمات المرور وشهادات الأجهزة وملفات التعريف المُصدَّرة كلها تدخل في ذلك. تصف إرشادات دورة حياة أداة التوثيق الصادرة عن NIST إبطال أداة توثيق مخترقة فورًا واشتراط إشعار مستقل عند ربط أداة توثيق أخرى، وهو الشكل الصحيح للمهمة حتى حيث تكشف VPN للمستهلكين عن ضوابط أقل.

ثم أنهِ الجلسات. تغيير كلمة المرور لا يُبطل الرموز القائمة بشكل موثوق، وملف تعريف VPN المثبَّت بالفعل على جهاز آخر يظل يعمل حتى يُلغى اعتماده. تحقق مما توثقه الخدمة لا مما تأمل أن تفعله.

أعد البناء دون استعادة الاختراق

إعادة التثبيت هي الجزء السهل، وهي حيث يلغي الناس عملهم بأنفسهم. استعادة نسخة احتياطية كاملة قد تعيد ملف التعريف المحفوظ نفسه وجلسة المتصفح نفسها ومخزن الاعتمادات نفسه. راجع ما تستورده الاستعادة فعليًا، ثم سجّل الجهاز من جديد عبر التدفق المدعوم بمواد صادرة حديثًا.

أبقِ الأجهزة قابلة للإزالة كل على حدة حيث تسمح الخدمة بذلك. ملف تعريف واحد لكل جهاز هو التفصيل الذي يحوّل حادثًا مستقبلًا إلى إلغاء واحد بدلًا من تخبّط على مستوى الأسطول.

قرّر متى ينتهي الحادث

ينتهي عندما تصح ثلاثة أمور. الوصول الشرعي يعمل من الجهاز المُعاد بناؤه. الهويات المكشوفة أُحيلت إلى التقاعد عبر ضوابط يمكنك رؤيتها فعليًا. ووسائل الاستعادة المتبقية، صندوق البريد ورقم الهاتف ورموز النسخ الاحتياطي، تخصك أنت. التثبيت النظيف الذي يتصل لا يحقق إلا الأول.

إذا لم تستطع فحص أو إزالة أداة توثيق أو جهة اتصال استعادة غير متوقعة، فصعّد عبر عملية الدعم الموثقة. إعادة التثبيت محليًا لن تصلح أبدًا وسيلة استعادة يتحكم فيها شخص آخر.