Lekkinud VPN-võtme asendamine: mida server peab tegema
Faili kustutamine ei muuda serveris midagi. Asendamine tähendab uut identiteeti, mis töötab, ja vana, mille lüüs tõesti tagasi lükkab, just selles järjekorras.
Kaotsi läks sülearvuti, milles oli kliendi võti, ja esimene samm on tavaliselt kohaliku koopia kustutamine. See ei muuda serveris midagi, sest server hoiab endiselt luba, mis võtab selle võtme vastu, kuni keegi selle eemaldab. Asendamine on kaks toimingut ja ainult teine puudutab vana mandaati.
Kohalik koopia ei ole otsustaja
VPN-i mandaati aktsepteeritakse seetõttu, et serveripoolne konfiguratsioon nii ütleb. Sertifikaatide puhul tähendab see, et sertifikaat aheldub usaldusväärse väljaandjani ega esine tühistusnimekirjas, mida lüüs kontrollib. WireGuardi puhul tähendab see, et partneri avalik võti esineb liidese konfiguratsioonis. Faili kustutamine kliendis eemaldab ühe koopia saladusest ja jätab vastuvõtureegli puutumata.
Seepärast töötab varastatud võti edasi ka pärast ilmset puhastust, ja seepärast tundub juhtum lahendamata ka siis, kui uus konfiguratsioon on paigaldatud.
Alustage serveri reeglist ja liikuge seejärel väljapoole, kliendi poole.
Sertifikaadid: otsus on serveri käes
Väljastage asendus väljaandja enda protsessi kaudu, et uus identiteet registreeritaks, ja tühistage seejärel vana allkirjastatud tühistamisega. Lüüs peab olema seadistatud seda tühistusallikat kontrollima ja selle uuesti laadima, muidu jääb fail kettale, samal ajal kui tunnel võtab endiselt vastu vana seerianumbri. Aktiivsed seansid võivad samuti kesta kuni uue läbirääkimiseni, seega planeerige taasühendus.
Kinnitage, et asendus töötab ettenähtud rakenduse jaoks, ja seejärel kinnitage heakskiidetud protsessi kaudu, et kõrvaldatud sertifikaat enam juurdepääsu ei loo.
Need on kaks erinevat katset ja mõlemad on vajalikud. RFC 5280 määratleb sertifikaadi ja tühistamise semantika, millele lüüs tugineb.
WireGuard: partneri võti on identiteet
WireGuardil puudub sertifikaadikiht: partneri avalik võti on identiteet ja serveri allowed-ips kirje on volitus. Vana partneri eemaldamine liidese konfiguratsioonist on tühistamine ja see kehtib uutele kätlusitele kohe.
Olemasolevad seansid lõpevad, kui järgmine kätlus ebaõnnestub, mis juhtub tavaliselt mõne minuti jooksul, mitte hetkega.
Levitage uus konfiguratsioon kanali kaudu, millele usaldaksite parooli, sest privaatvõti on mandaat. Hoidke üks võti seadme kohta, et üks kadunud seade ei sunniks kõiki seadmeid muutma.
Mis veel selles paketis oli
Kliendipakett kannab sageli rohkem kui privaatvõtit: staatiline TLS-võti, kasutajanimi ja parool, eelnevalt jagatud saladus või ettevalmistustõend. Piirake juhtum sellega, mis tegelikult avalikuks sai, ja pöörake ka need üksused. Sertifikaadi pööramine, jättes jagatud staatilise võtme paigale, sulgeb ühe ukse ja jätab teise lahti.
Kui paketti jagati seadmete vahel, pärib iga seda kandev seade kokkupuute.
Kirjutage üles, mida pöörati, sest järgmine audit küsib.
Tõestage keeldumine ja registreerige siis asendus
Asendus on lõpetatud, kui kehtib kaks fakti: uus identiteet töötab ettenähtud teenuse jaoks ja vana lükatakse tagasi. Kontrollige teist kõrvaldatud mandaadiga testkeskkonnast või organisatsiooni heakskiidetud kontrollitud katsega ning lugege lüüsi logisid, et kinnitada, et keeldumine tuli poliitikast, mitte trükkimisveast. Seejärel registreerige vana identifikaator, uus ja muutmise aeg, sest need kolm väärtust on vajalikud audiitorile taastamiseks. Mitte miski muu piletil ei selgita lünka.
Hoidke privaatvõtmed piletitest ja vestlustest väljas, ja eemaldage poliitika järgi vananenud ekspordid salvestusest ja varukoopiatest.
Asendus ilma keeldumistestita on oletus, mitte parandus.