Sızmış VPN açarının dəyişdirilməsi: server nə etməlidir

Müştəri açarı daşıyan noutbuk itdi və ilk addım adətən yerli surəti silməkdir. Bu, serverdə heç nəyi dəyişmir, çünki server həmin açarı qəbul edəcək icazəni kimsə silənə qədər saxlayır. Dəyişdirmə iki əməliyyatdır və yalnız ikincisi köhnə etimad məlumatına aiddir.

Yerli surət qərar verən deyil

VPN etimad məlumatı server tərəfindəki konfiqurasiya belə dediyi üçün qəbul edilir. Sertifikatlarda bu o deməkdir ki, sertifikat etibarlı verənə qədər zəncirlənir və şlüzün müraciət etdiyi ləğv siyahısında görünmür. WireGuard üçün bu o deməkdir ki, peer-in açıq açarı interfeys konfiqurasiyasında görünür. Müştəridə faylın silinməsi sirrin bir surətini silir və qəbul qaydasını toxunulmaz qoyur.

Bu, oğurlanmış açarın aşkar təmizlikdən sonra niyə işləməyə davam etdiyinin və yeni konfiqurasiya quraşdırıldıqdan sonra belə hadisənin niyə həll olunmamış göründüyünün səbəbidir.

Serverin qaydasından başlayın, sonra müştəriyə doğru irəliləyin.

Sertifikatlar: qərarı server verir

Dəyişdirməni verənin öz prosesi ilə buraxın ki, yeni kimlik qeydə alınsın, sonra köhnəni imzalı ləğvlə geri çəkin. Şlüz həmin ləğv mənbəyinə müraciət etmək üçün konfiqurasiya edilməli və onu yenidən yükləməlidir, əks halda fayl diskdə qalır, tunel isə köhnə seriya nömrəsini qəbul etməyə davam edir. Aktiv sessiyalar da yenidən danışıqlara qədər davam edə bilər, ona görə yenidən qoşulmağı planlaşdırın.

Dəyişdirmənin nəzərdə tutulan tətbiq üçün işlədiyini təsdiqləyin, sonra təsdiqlənmiş proseslə köhnə sertifikatın artıq giriş yaratmadığını təsdiqləyin.

Bunlar iki fərqli sınaqdır və hər ikisi tələb olunur. RFC 5280 şlüzün güvəndiyi sertifikat və ləğv semantikasını müəyyən edir.

WireGuard: peer açarı kimlikdir

WireGuard-da sertifikat qatı yoxdur: peer-in açıq açarı kimlikdir, serverin allowed-ips qeydi isə icazədir. Köhnə peer-i interfeys konfiqurasiyasından çıxarmaq ləğvdir və yeni əl sıxmalara dərhal aiddir.

Mövcud sessiyalar növbəti əl sıxma uğursuz olduqda başa çatır, bu da adətən bir neçə dəqiqə ərzində olur, dərhal deyil.

Yeni konfiqurasiyanı parolla etibar edəcəyiniz kanaldan paylayın, çünki şəxsi açar etimad məlumatıdır. Hər cihaz üçün bir açar saxlayın ki, bir itirilmiş cihaz bütün cihazların dəyişməsini tələb etməsin.

Həmin paketdə başqa nə var idi

Müştəri paketi çox vaxt şəxsi açardan çoxunu daşıyır: statik TLS açarı, istifadəçi adı və parol, əvvəlcədən paylaşılan sirr və ya təminat nişanı. Hadisənin əhatəsini həqiqətən açılanlarla məhdudlaşdırın və o elementləri də dəyişdirin. Sertifikatı dəyişdirib ortaq statik açarı yerində saxladıqda bir qapı bağlanır, digəri açıq qalır.

Paket cihazlar arasında paylaşılıbsa, onu daşıyan hər cihaz məruz qalmanı miras alır.

Nəyin dəyişdirildiyini yazın, çünki növbəti audit soruşacaq.

İmtinanı sübut edin, sonra dəyişdirməni qeyd edin

Dəyişdirmə iki fakt yerinə yetdikdə tamamlanır: yeni kimlik nəzərdə tutulan xidmət üçün işləyir və köhnə kimlik rədd edilir. İkincisini köhnə etimad məlumatı ilə test mühitindən və ya təşkilatın təsdiqlədiyi nəzarətli cəhdlə yoxlayın və rəddin səhv yazıdan deyil, siyasətdən gəldiyini təsdiqləmək üçün şlüz jurnallarını oxuyun. Sonra köhnə identifikatoru, yenisini və dəyişiklik vaxtını qeyd edin, çünki auditorun yenidən qurması üçün lazım olan üç dəyər bunlardır. Biletdə başqa heç nə boşluğu izah etməyəcək.

Şəxsi açarları biletlərdən və söhbətlərdən kənarda saxlayın və köhnəlmiş ixracatı siyasətə uyğun olaraq yaddaşdan və ehtiyat nüsxələrdən silin.

İmtina sınağı olmayan dəyişdirmə düzəliş deyil, fərziyyədir.