Замена выцеклага ключа VPN: што павінен зрабіць сервер

Наўтбук з кліенцкім ключом быў страчаны, і першае дзеянне звычайна — выдаліць лакальную копію. Гэта нічога не змяняе на серверы, які ўсё яшчэ трымае дазвол, што прыме гэты ключ, пакуль хто-небудзь яго не выдаліць. Замена — гэта дзве аперацыі, і толькі другая тычыцца старых даных доступу.

Лакальная копія не з'яўляецца крыніцай рашэння

Даныя доступу VPN прымаюцца таму, што канфігурацыя на баку сервера так кажа. Для сертыфікатаў гэта значыць, што сертыфікат будуецца ланцугом да даверанага эмітэнта і не паяўляецца ў спісе адклікання, да якога звяртаецца шлюз. Для WireGuard гэта значыць, што публічны ключ суразмоўцы паяўляецца ў канфігурацыі інтэрфейса. Выдаленне файла на кліенце прыбірае адну копію сакрэту і пакідае правіла прыёму нязменным.

Менавіта таму скрадзены ключ працягвае працаваць пасля відавочнай чысткі, і таму інцыдэнт адчуваецца нявырашаным нават пасля ўсталявання новай канфігурацыі.

Пачніце з правіла сервера, затым рухайцеся вонкі да кліента.

Сертыфікаты: рашэнне за серверам

Выпусціце замену праз уласны працэс эмітэнта, каб новая асоба была запісана, затым адклічце старую падпісаным адкліканнем. Шлюз павінен быць наладжаны звяртацца да гэтай крыніцы адклікання і перазагружаць яе, інакш файл ляжыць на дыску, а тунель працягвае прымаць стары серыйны нумар. Актыўныя сеансы таксама могуць жыць да перамовы, таму плануйце перападключэнне.

Пацвердзіце, што замена працуе для патрэбнай праграмы, затым пацвердзіце праз зацверджаны працэс, што адкліканы сертыфікат больш не дае доступу.

Гэта два розныя тэсты, і патрэбны абодва. RFC 5280 вызначае семантыку сертыфікатаў і адклікання, на якую абапіраецца шлюз.

WireGuard: ключ суразмоўцы — гэта асоба

У WireGuard няма ўзроўню сертыфікатаў: публічны ключ суразмоўцы — гэта асоба, а запіс allowed-ips на серверы — гэта дазвол. Выдаленне старога суразмоўцы з канфігурацыі інтэрфейса — гэта адкліканне, і яно дзейнічае для новых рукапоціскаў адразу.

Існуючыя сеансы сканчаюцца, калі наступны рукапоціск не ўдаецца, што звычайна адбываецца на працягу пары хвілін, а не імгненна.

Раздавайце новую канфігурацыю праз канал, якому давяраеце пароль, бо прыватны ключ — гэта даныя доступу. Трымайце адзін ключ на прыладу, каб адна страчаная прылада не прымушала мяняць усе астатнія.

Што яшчэ было ў тым наборы

Кліенцкі набор часта нясе больш за прыватны ключ: статычны ключ TLS, імя карыстальніка і пароль, загадзя агучаны сакрэт або токен падрыхтоўкі. Абмяжуйце інцыдэнт тым, што сапраўды было выкрыта, і пераключыце гэтыя элементы таксама. Пераключэнне сертыфіката з пакінутым агульным статычным ключом зачыняе адныя дзверы і пакідае другія адчыненымі.

Калі набор быў агульны для некалькіх прылад, кожная прылада, якая яго носіць, атрымлівае ў спадчыну выкрыццё.

Запішыце, што было пераключана, бо наступны аўдыт спытае.

Дакажыце адмову, затым запішыце замену

Замена завершана, калі выконваюцца два факты: новая асоба працуе для патрэбнай службы, а старая адхілена. Праверце другое старымі данымі доступу з тэставага асяроддзя або кантраляванай спробай, якую ўхваляе арганізацыя, і прачытайце журналы шлюза, каб пацвердзіць, што адмова прыйшла з палітыкі, а не з друкарскай памылкі. Затым запішыце стары ідэнтыфікатар, новы і час змены, бо менавіта гэтыя тры значэнні патрэбны аўдытару, каб аднавіць карціну. Нішто іншае ў заяўцы не патлумачыць прамежак.

Трымайце прыватныя ключы па-за заяўкамі і чатамі і выдаляйце састарэлыя экспарты са сховішча і рэзервовых копій згодна з палітыкай.

Замена без тэсту адмовы — гэта здагадка, а не выпраўленне.