Výměna uniklého klíče VPN: co musí server udělat
Smazání souboru na serveru nic nezmění. Výměna znamená novou identitu, která funguje, a starou, kterou brána skutečně odmítá, v tomto pořadí.
Notebook s klientským klíčem se ztratil a prvním krokem obvykle je smazat místní kopii. Na serveru to nic nezmění, protože ten stále drží oprávnění, které tento klíč přijme, dokud ho někdo neodstraní. Výměna jsou dvě operace a jen druhá se týká starých přihlašovacích údajů.
Místní kopie není autorita
Přihlašovací údaj VPN se přijímá proto, že to říká konfigurace na straně serveru. U certifikátů to znamená, že certifikát řetězí k důvěryhodnému vydavateli a neobjevuje se na seznamu odvolaných, který brána kontroluje. U WireGuardu to znamená, že veřejný klíč protějšku je v konfiguraci rozhraní. Smazání souboru na klientovi odstraní jednu kopii tajemství a pravidlo přijetí nechá nedotčené.
Proto ukradený klíč funguje dál i po zřejmém úklidu a proto incident působí nevyřešeně, i když je nová konfigurace nainstalovaná.
Začněte pravidlem serveru a pak postupujte směrem ven ke klientovi.
Certifikáty: rozhodnutí drží server
Vydejte náhradu vlastním procesem vydavatele, aby byla nová identita zaznamenána, a pak starou stáhněte podepsaným odvoláním. Brána musí být nakonfigurována tak, aby tento zdroj odvolání kontrolovala, a musí ho znovu načíst, jinak soubor leží na disku, zatímco tunel dál přijímá staré sériové číslo. Aktivní relace mohou navíc přežít do renegociace, takže naplánujte opětovné připojení.
Ověřte, že náhrada funguje pro zamýšlenou aplikaci, a poté schváleným postupem ověřte, že odvolaný certifikát už přístup nezakládá.
Jsou to dva různé testy a potřebné jsou oba. RFC 5280 definuje sémantiku certifikátů a odvolávání, na kterou se brána spoléhá.
WireGuard: klíč protějšku je identita
WireGuard nemá vrstvu certifikátů: veřejný klíč protějšku je identita a záznam allowed-ips na serveru je oprávnění. Odebrání starého protějšku z konfigurace rozhraní je odvolání a platí pro nová navázání spojení okamžitě.
Existující relace skončí, když selže další navázání spojení, což obvykle nastane během několika minut, nikoli okamžitě.
Novou konfiguraci distribuujte kanálem, kterému byste svěřili heslo, protože soukromý klíč je přihlašovací údaj. Mějte jeden klíč na zařízení, aby jedno ztracené zařízení nenutilo změnit všechna zařízení.
Co dalšího v tom balíku bylo
Klientský balík často nese víc než soukromý klíč: statický klíč TLS, uživatelské jméno a heslo, předem sdílené tajemství nebo zřizovací token. Ohraničte incident tím, co bylo skutečně vystaveno, a rotujte i tyto položky. Rotace certifikátu při ponechání sdíleného statického klíče zavře jedny dveře a nechá jiné otevřené.
Pokud byl balík sdílen mezi zařízeními, každé zařízení, které ho nosí, dědí to vystavení.
Zapište, co se rotovalo, protože příští audit se na to zeptá.
Dokažte odmítnutí a pak zaznamenejte výměnu
Výměna je hotová, když platí dvě skutečnosti: nová identita funguje pro zamýšlenou službu a stará je odmítnuta. Druhou ověřte odvolaným přihlašovacím údajem z testovacího prostředí nebo kontrolovaným pokusem, který organizace schválí, a přečtěte logy brány, abyste potvrdili, že odmítnutí přišlo z politiky, a ne z překlepu. Pak zaznamenejte starý identifikátor, nový a čas změny, protože tyto tři hodnoty auditor potřebuje k rekonstrukci. Nic jiného v tiketu mezeru nevysvětlí.
Držte soukromé klíče mimo tikety a chat a odstraňte zastaralé exporty z úložiště a záloh podle politiky.
Výměna bez testu odmítnutí je předpoklad, ne oprava.