ফাঁস হওয়া VPN কী প্রতিস্থাপন: সার্ভারকে কী করতে হবে

ক্লায়েন্ট কী বহনকারী একটি ল্যাপটপ হারিয়ে গিয়েছিল, এবং প্রথম পদক্ষেপ সাধারণত স্থানীয় কপিটি মুছে ফেলা। এটি সার্ভারে কিছুই বদলায় না, কারণ সার্ভার এখনও এমন একটি অনুমোদন ধরে রাখে যা কেউ না সরানো পর্যন্ত সেই কী গ্রহণ করবে। প্রতিস্থাপন দুটি কাজ, এবং কেবল দ্বিতীয়টি পুরোনো ক্রেডেনশিয়ালের সঙ্গে সম্পর্কিত।

স্থানীয় কপিই কর্তৃত্ব নয়

একটি VPN ক্রেডেনশিয়াল গ্রহণ করা হয় কারণ সার্ভার-সাইড কনফিগারেশন তা বলে। সার্টিফিকেটের ক্ষেত্রে এর অর্থ সার্টিফিকেটটি একটি বিশ্বস্ত ইস্যুকারীর সঙ্গে শৃঙ্খলাবদ্ধ হয় এবং গেটওয়ে যে বাতিল তালিকা দেখে সেখানে উপস্থিত থাকে না। WireGuard-এর ক্ষেত্রে এর অর্থ পিয়ারের পাবলিক কী ইন্টারফেস কনফিগারেশনে উপস্থিত থাকে। ক্লায়েন্টে একটি ফাইল মুছে ফেললে গোপন তথ্যের একটি কপি সরে যায় এবং গ্রহণের নিয়মটি অপরিবর্তিত থাকে।

তাই চুরি হওয়া কী দৃশ্যত পরিষ্কারের পরেও কাজ করে, এবং নতুন কনফিগারেশন ইনস্টল করার পরেও ঘটনাটি অমীমাংসিত কেন মনে হয়।

সার্ভারের নিয়ম থেকে শুরু করুন, তারপর ক্লায়েন্টের দিকে বাইরের দিকে এগোন।

সার্টিফিকেট: সিদ্ধান্ত সার্ভারের হাতে

ইস্যুকারীর নিজস্ব প্রক্রিয়ার মাধ্যমে প্রতিস্থাপনটি ইস্যু করুন যাতে নতুন পরিচয় নথিভুক্ত হয়, তারপর স্বাক্ষরিত বাতিলের মাধ্যমে পুরোনোটি প্রত্যাহার করুন। গেটওয়েকে সেই বাতিলের উৎস দেখার জন্য কনফিগার করতে হবে এবং তা পুনরায় লোড করতে হবে, নইলে ফাইলটি ডিস্কে পড়ে থাকে আর টানেল পুরোনো সিরিয়াল গ্রহণ করতে থাকে। সক্রিয় সেশন পুনরায় আলোচনা পর্যন্ত টিকে থাকতে পারে, তাই পুনঃসংযোগের পরিকল্পনা করুন।

প্রতিস্থাপনটি নির্দিষ্ট অ্যাপ্লিকেশনের জন্য কাজ করে তা নিশ্চিত করুন, তারপর অনুমোদিত প্রক্রিয়ার মাধ্যমে নিশ্চিত করুন যে অবসরপ্রাপ্ত সার্টিফিকেট আর প্রবেশাধিকার দেয় না।

এগুলি দুটি ভিন্ন পরীক্ষা এবং দুটিই প্রয়োজন। RFC 5280 নির্ধারণ করে সার্টিফিকেট ও বাতিলের সেই অর্থ, যার উপর গেটওয়ে নির্ভর করে।

WireGuard: পিয়ার কী-ই পরিচয়

WireGuard-এ সার্টিফিকেট স্তর নেই: পিয়ারের পাবলিক কী-ই পরিচয়, আর সার্ভারের allowed-ips এন্ট্রি হলো অনুমোদন। ইন্টারফেস কনফিগারেশন থেকে পুরোনো পিয়ার সরানোই বাতিল, এবং তা নতুন হ্যান্ডশেকে সঙ্গে সঙ্গে প্রযোজ্য।

বিদ্যমান সেশনগুলি পরের হ্যান্ডশেক ব্যর্থ হলে শেষ হয়, যা সাধারণত কয়েক মিনিটের মধ্যে ঘটে, তৎক্ষণাৎ নয়।

নতুন কনফিগারেশন এমন চ্যানেলে বিতরণ করুন যাকে আপনি পাসওয়ার্ডের মতো বিশ্বাস করবেন, কারণ প্রাইভেট কী-ই ক্রেডেনশিয়াল। প্রতি ডিভাইসে একটি কী রাখুন, যাতে একটি হারানো ডিভাইস সব ডিভাইস বদলাতে বাধ্য না করে।

সেই বান্ডেলে আর কী ছিল

একটি ক্লায়েন্ট বান্ডেল প্রায়ই প্রাইভেট কী-এর চেয়ে বেশি বহন করে: একটি স্ট্যাটিক TLS কী, একটি ব্যবহারকারীনাম ও পাসওয়ার্ড, একটি পূর্ব-ভাগ করা গোপন তথ্য বা একটি প্রভিশনিং টোকেন। ঘটনার পরিধি প্রকৃতপক্ষে যা প্রকাশ পেয়েছে তাতে সীমাবদ্ধ করুন এবং সেই উপাদানগুলিও রোটেট করুন। সার্টিফিকেট রোটেট করে একটি ভাগ করা স্ট্যাটিক কী রেখে দিলে একটি দরজা বন্ধ হয় আর আরেকটি খোলা থাকে।

বান্ডেলটি যদি ডিভাইসগুলির মধ্যে ভাগ করা থাকে, তবে এটি বহনকারী প্রতিটি ডিভাইস সেই প্রকাশের উত্তরাধিকারী হয়।

কী কী রোটেট হয়েছে লিখে রাখুন, কারণ পরের নিরীক্ষা তা চাইবে।

প্রত্যাখ্যান প্রমাণ করুন, তারপর প্রতিস্থাপন নথিভুক্ত করুন

প্রতিস্থাপন সম্পূর্ণ হয় যখন দুটি বিষয় সত্য হয়: নতুন পরিচয়টি নির্দিষ্ট পরিষেবার জন্য কাজ করে, এবং পুরোনোটি প্রত্যাখ্যাত হয়। দ্বিতীয়টি পরীক্ষার পরিবেশ থেকে অবসরপ্রাপ্ত ক্রেডেনশিয়াল দিয়ে, বা সংস্থা অনুমোদিত একটি নিয়ন্ত্রিত প্রচেষ্টা দিয়ে যাচাই করুন, এবং গেটওয়ে লগ পড়ে নিশ্চিত করুন যে প্রত্যাখ্যান নীতি থেকে এসেছে, টাইপো থেকে নয়। তারপর পুরোনো শনাক্তকারী, নতুনটি এবং পরিবর্তনের সময় লিখে রাখুন, কারণ এই তিনটি মানই নিরীক্ষকের পুনর্গঠনের জন্য দরকার। টিকিটে আর কিছুই সেই ফাঁক ব্যাখ্যা করবে না।

টিকিট ও চ্যাট থেকে প্রাইভেট কী দূরে রাখুন, এবং নীতি অনুযায়ী স্টোরেজ ও ব্যাকআপ থেকে অপ্রচলিত এক্সপোর্ট সরান।

প্রত্যাখ্যান পরীক্ষা ছাড়া প্রতিস্থাপন সংশোধন নয়, একটি অনুমান।