Zamjena procurjelog VPN ključa: šta server mora učiniti

Laptop sa klijentskim ključem je izgubljen, a prva radnja obično je brisanje lokalne kopije. To ne mijenja ništa na serveru, koji još uvijek drži ovlaštenje koje će prihvatiti taj ključ dok ga neko ne ukloni. Zamjena su dvije operacije, a samo druga se tiče starih akreditiva.

Lokalna kopija nije autoritet

VPN akreditiv se prihvata jer serverska konfiguracija tako kaže. Za certifikate to znači da se certifikat lančano veže na pouzdanog izdavaoca i ne pojavljuje se na listi opoziva koju gateway provjerava. Za WireGuard to znači da se javni ključ partnera pojavljuje u konfiguraciji interfejsa. Brisanje datoteke na klijentu uklanja jednu kopiju tajne i ostavlja pravilo prihvatanja netaknutim.

Zato ukradeni ključ nastavlja raditi nakon očiglednog čišćenja, i zato incident izgleda neriješen čak i kada je nova konfiguracija instalirana.

Pođite od serverovog pravila, pa radite prema van ka klijentu.

Certifikati: server drži odluku

Izdajte zamjenu kroz vlastiti proces izdavaoca tako da novi identitet bude zabilježen, zatim povucite stari potpisanim opozivom. Gateway mora biti konfigurisan da provjerava taj izvor opoziva i mora ga ponovo učitati, inače datoteka stoji na disku dok tunel nastavlja prihvatati stari serijski broj. Aktivne sesije također mogu preživjeti do ponovnog pregovaranja, pa planirajte ponovno povezivanje.

Potvrdite da zamjena radi za predviđenu aplikaciju, zatim potvrdite kroz odobreni proces da povučeni certifikat više ne uspostavlja pristup.

To su dva različita testa i oba su potrebna. RFC 5280 definiše semantiku certifikata i opoziva na koju se gateway oslanja.

WireGuard: ključ partnera je identitet

WireGuard nema sloj certifikata: javni ključ partnera je identitet, a serverski unos allowed-ips je ovlaštenje. Uklanjanje starog partnera iz konfiguracije interfejsa je opoziv i odmah se primjenjuje na nove handshakeove.

Postojeće sesije završavaju kada sljedeći handshake ne uspije, što se obično dogodi u roku od nekoliko minuta, a ne trenutno.

Distribuirajte novu konfiguraciju kanalom kojem biste povjerili lozinku, jer je privatni ključ akreditiv. Držite jedan ključ po uređaju, da jedan izgubljeni uređaj ne prisili sve uređaje na promjenu.

Šta je još bilo u tom paketu

Klijentski paket često nosi više od privatnog ključa: statički TLS ključ, korisničko ime i lozinku, unaprijed dijeljenu tajnu ili token za provizioniranje. Ograničite incident na ono što je zaista bilo izloženo i rotirajte i te stavke. Rotiranje certifikata dok dijeljeni statički ključ ostaje na mjestu zatvara jedna vrata i ostavlja druga otvorena.

Ako je paket dijeljen među uređajima, svaki uređaj koji ga nosi nasljeđuje izloženost.

Zapišite šta je rotirano, jer će sljedeća revizija pitati.

Dokažite odbijanje, zatim zabilježite zamjenu

Zamjena je završena kada vrijede dvije činjenice: novi identitet radi za predviđenu uslugu, a stari se odbija. Provjerite drugo sa povučenim akreditivom iz testnog okruženja, ili kontrolisanim pokušajem koji organizacija odobri, i pročitajte gateway logove da potvrdite da odbijanje dolazi iz politike, a ne iz greške u kucanju. Zatim zabilježite stari identifikator, novi i vrijeme promjene, jer su te tri vrijednosti ono što revizoru treba da to rekonstruiše. Ništa drugo u tiketu neće objasniti prazninu.

Držite privatne ključeve izvan tiketa i chata, i uklonite zastarjele izvoze iz skladišta i sigurnosnih kopija prema politici.

Zamjena bez testa odbijanja je pretpostavka, a ne popravka.