استبدال مفتاح VPN مسرَّب: ما الذي يجب أن يفعله الخادم

فُقد حاسوب محمول يحمل مفتاح عميل، وأول إجراء هو عادةً حذف النسخة المحلية. هذا لا يغيّر شيئًا على الخادم، الذي لا يزال يحتفظ بتفويض سيقبل ذلك المفتاح إلى أن يحذفه أحد. الاستبدال عمليتان، والثانية وحدها تخص بيانات الاعتماد القديمة.

النسخة المحلية ليست صاحبة القرار

تُقبل بيانات اعتماد VPN لأن إعدادات الخادم تقول ذلك. في الشهادات يعني ذلك أن الشهادة تتبع سلسلة إلى جهة إصدار موثوقة ولا تظهر في قائمة إبطال تستشيرها البوابة. وفي WireGuard يعني ذلك أن المفتاح العام للنظير يظهر في إعدادات الواجهة. حذف ملف على العميل يزيل نسخة واحدة من سرّ ويترك قاعدة القبول كما هي.

وهذا هو سبب استمرار عمل مفتاح مسروق بعد التنظيف البديهي، وسبب بقاء الحادث بلا حل حتى بعد تثبيت الإعداد الجديد.

ابدأ من قاعدة الخادم، ثم اتجه منها إلى العميل.

الشهادات: الخادم يملك القرار

أصدر البديل من خلال عملية جهة الإصدار نفسها حتى تُسجَّل الهوية الجديدة، ثم اسحب القديمة بإبطال موقَّع. يجب تهيئة البوابة لتستشير مصدر الإبطال هذا، وعليها أن تعيد تحميله، وإلا بقي الملف على القرص بينما يواصل النفق قبول الرقم التسلسلي القديم. وقد تبقى الجلسات النشطة حتى إعادة التفاوض، لذا خطِّط لإعادة الاتصال.

تأكد من أن البديل يعمل مع التطبيق المقصود، ثم تأكد من خلال عملية معتمدة أن الشهادة المسحوبة لم تعد تمنح الوصول.

هذان اختباران مختلفان وكلاهما مطلوب. يحدد RFC 5280 دلالات الشهادة والإبطال التي تعتمد عليها البوابة.

WireGuard: مفتاح النظير هو الهوية

لا تحتوي WireGuard على طبقة شهادات: المفتاح العام للنظير هو الهوية، وإدخال allowed-ips على الخادم هو التفويض. إزالة النظير القديم من إعدادات الواجهة هي الإبطال، وهي تسري على المصافحات الجديدة فورًا.

تنتهي الجلسات القائمة عندما تفشل المصافحة التالية، وهو ما يحدث عادة خلال بضع دقائق لا على الفور.

وزِّع الإعداد الجديد عبر قناة تثق بها كما تثق بكلمة مرور، لأن المفتاح الخاص هو بيانات الاعتماد. واحتفظ بمفتاح واحد لكل جهاز، حتى لا يفرض جهاز مفقود واحد تغيير كل الأجهزة.

ما الذي كان أيضًا في تلك الحزمة

غالبًا ما تحمل حزمة العميل أكثر من المفتاح الخاص: مفتاح TLS ثابت، واسم مستخدم وكلمة مرور، وسرّ مشترك مسبقًا أو رمز تجهيز. حدِّد نطاق الحادث بما انكشف فعلًا وقم بتدوير تلك العناصر أيضًا. تدوير الشهادة مع إبقاء مفتاح ثابت مشترك يغلق بابًا ويترك آخر مفتوحًا.

إذا كانت الحزمة مشتركة بين أجهزة، فكل جهاز يحملها يرث الانكشاف.

اكتب ما جرى تدويره، لأن التدقيق التالي سيسأل عنه.

أثبت الرفض، ثم سجّل الاستبدال

يكتمل الاستبدال عندما يتحقق أمران: الهوية الجديدة تعمل للخدمة المقصودة، والقديمة مرفوضة. تحقق من الثاني ببيانات الاعتماد المسحوبة من بيئة اختبار، أو بمحاولة مضبوطة توافق عليها المؤسسة، واقرأ سجلات البوابة لتتأكد من أن الرفض جاء من السياسة لا من خطأ كتابي. ثم سجّل المعرّف القديم والجديد ووقت التغيير، لأن هذه القيم الثلاث هي ما يحتاجه المدقق لإعادة بناء الحادثة. لا شيء آخر في التذكرة سيفسر الفجوة.

أبقِ المفاتيح الخاصة خارج التذاكر والدردشة، وأزل الصادرات القديمة من التخزين والنسخ الاحتياطية وفقًا للسياسة.

الاستبدال بلا اختبار رفض افتراض وليس إصلاحًا.