Смяна на изтекъл VPN ключ: какво трябва да направи сървърът

Лаптоп с клиентски ключ беше загубен и първото действие обикновено е да се изтрие локалното копие. Това не променя нищо на сървъра, който все още държи разрешение, което ще приеме този ключ, докато някой не го премахне. Смяната е две операции и само втората засяга старите идентификационни данни.

Локалното копие не взема решението

Идентификационните данни за VPN се приемат, защото конфигурацията от страна на сървъра го казва. За сертификатите това означава, че сертификатът се свързва във верига към доверен издател и не се появява в списък за отмяна, който шлюзът проверява. За WireGuard това означава, че публичният ключ на партньора се появява в конфигурацията на интерфейса. Изтриването на файл на клиента премахва едно копие на тайна и оставя правилото за приемане непокътнато.

Ето защо откраднатият ключ продължава да работи след очевидното почистване и защо инцидентът изглежда нерешен дори след инсталирането на новата конфигурация.

Започнете от правилото на сървъра, след което работете навън към клиента.

Сертификати: сървърът взема решението

Издайте замяната чрез собствения процес на издателя, така че новата идентичност да бъде записана, след което оттеглете старата с подписана отмяна. Шлюзът трябва да е конфигуриран да проверява този източник на отмяна и трябва да го презареди, иначе файлът стои на диска, докато тунелът продължава да приема стария сериен номер. Активните сесии също могат да оцелеят до предоговаряне, така че планирайте повторно свързване.

Потвърдете, че замяната работи за предвиденото приложение, след което потвърдете чрез одобрен процес, че оттегленият сертификат вече не дава достъп.

Това са два различни теста и са нужни и двата. RFC 5280 определя семантиката на сертификатите и отмяната, на която шлюзът разчита.

WireGuard: ключът на партньора е идентичността

WireGuard няма слой за сертификати: публичният ключ на партньора е идентичността, а записът allowed-ips на сървъра е разрешението. Премахването на стария партньор от конфигурацията на интерфейса е отмяната и тя важи за нови ръкостискания веднага.

Съществуващите сесии приключват, когато следващото ръкостискане се провали, което обикновено е в рамките на няколко минути, а не мигновено.

Разпространявайте новата конфигурация по канал, на който бихте доверили парола, защото частният ключ е идентификационните данни. Дръжте един ключ на устройство, така че едно загубено устройство да не принуждава всички да се сменят.

Какво друго имаше в този пакет

Клиентският пакет често носи повече от частния ключ: статичен TLS ключ, потребителско име и парола, предварително споделена тайна или токен за предоставяне. Ограничете инцидента до това, което наистина е било изложено, и сменете и тези елементи. Смяната на сертификата, докато общ статичен ключ остава на място, затваря една врата и оставя друга отворена.

Ако пакетът е бил споделен между устройства, всяко устройство, което го носи, наследява излагането.

Запишете какво е било сменено, защото следващият одит ще пита.

Докажете отказа, после запишете замяната

Замяната е завършена, когато са налице два факта: новата идентичност работи за предвидената услуга, а старата се отказва. Проверете второто със старите идентификационни данни от тестова среда или с контролиран опит, одобрен от организацията, и прочетете журналите на шлюза, за да потвърдите, че отказът идва от политика, а не от печатна грешка. След това запишете стария идентификатор, новия и времето на промяната, защото тези три стойности са това, което одиторът трябва да възстанови картината. Нищо друго в заявката няма да обясни празнината.

Дръжте частните ключове извън заявки и чатове и премахвайте остарелите експорти от хранилището и резервните копия според политиката.

Замяна без тест за отказ е предположение, а не поправка.