جایگزینی کلید VPN افشاشده: کاری که سرور باید انجام دهد
پاک کردن فایل هیچ چیز را روی سرور تغییر نمی‌دهد. جایگزینی یعنی هویتی تازه که کار می‌کند و هویتی قدیمی که دروازه واقعاً آن را رد می‌کند، به همین ترتیب.
لپ‌تاپی که کلید کارخواه را حمل می‌کرد گم شد، و نخستین اقدام معمولاً پاک کردن نسخه محلی است. این کار هیچ چیز را روی سرور تغییر نمی‌دهد، چون سرور هنوز مجوزی نگه می‌دارد که آن کلید را می‌پذیرد تا کسی آن را بردارد. جایگزینی دو عملیات است، و تنها دومی به اعتبارنامه قدیمی مربوط می‌شود.
نسخه محلی مرجع نیست
اعتبارنامه VPN پذیرفته می‌شود چون پیکربندی سمت سرور چنین می‌گوید. در گواهی‌ها این یعنی گواهی به یک صادرکننده مورد اعتماد زنجیره می‌شود و در فهرست ابطالی که دروازه بررسی می‌کند نمی‌آید. در WireGuard یعنی کلید عمومی همتا در پیکربندی رابط می‌آید. پاک کردن یک فایل روی کارخواه یک نسخه از یک راز را برمی‌دارد و قاعده پذیرش را دست‌نخورده می‌گذارد.
به همین دلیل کلید دزدیده‌شده پس از پاکسازی ظاهری همچنان کار می‌کند، و به همین دلیل حادثه حتی پس از نصب پیکربندی تازه حل‌نشده به نظر می‌رسد.
از قاعده سرور شروع کنید و سپس به سمت کارخواه بیرون بروید.
گواهی‌ها: تصمیم نزد سرور است
جایگزین را از طریق فرایند خود صادرکننده صادر کنید تا هویت تازه ثبت شود، سپس قدیمی را با ابطال امضاشده پس بگیرید. دروازه باید طوری پیکربندی شود که آن منبع ابطال را بررسی کند و باید آن را دوباره بارگذاری کند، وگرنه فایل روی دیسک می‌ماند در حالی که تونل همچنان شماره سریال قدیمی را می‌پذیرد. نشست‌های فعال هم می‌توانند تا مذاکره دوباره زنده بمانند، پس اتصال دوباره را برنامه‌ریزی کنید.
تأیید کنید که جایگزین برای برنامه مورد نظر کار می‌کند، سپس از طریق فرایندی تأییدشده تأیید کنید که گواهی بازنشسته دیگر دسترسی ایجاد نمی‌کند.
این‌ها دو آزمون متفاوت‌اند و هر دو لازم است. RFC 5280 معناشناسی گواهی و ابطال را تعریف می‌کند که دروازه بر آن تکیه دارد.
WireGuard: کلید همتا همان هویت است
WireGuard لایه گواهی ندارد: کلید عمومی همتا هویت است، و ورودی allowed-ips سرور مجوز است. برداشتن همتای قدیمی از پیکربندی رابط همان ابطال است و بی‌درنگ بر دست‌دادن‌های تازه اعمال می‌شود.
نشست‌های موجود وقتی دست‌دادن بعدی شکست بخورد پایان می‌یابند، که معمولاً در چند دقیقه رخ می‌دهد نه بی‌درنگ.
پیکربندی تازه را از کانالی توزیع کنید که به آن اندازه به رمز عبور اعتماد می‌کردید، چون کلید خصوصی همان اعتبارنامه است. برای هر دستگاه یک کلید نگه دارید تا یک دستگاه گمشده همه دستگاه‌ها را به تغییر وادار نکند.
چه چیز دیگری در آن بسته بود
بسته کارخواه اغلب بیش از کلید خصوصی حمل می‌کند: یک کلید TLS ثابت، نام کاربری و رمز عبور، یک راز از پیش مشترک یا یک توکن تجهیز. دامنه حادثه را به آنچه واقعاً افشا شده محدود کنید و آن اقلام را هم بچرخانید. چرخاندن گواهی در حالی که یک کلید ثابت مشترک سر جایش می‌ماند یک در را می‌بندد و در دیگری را باز می‌گذارد.
اگر بسته میان دستگاه‌ها مشترک بوده، هر دستگاهی که آن را حمل می‌کند در معرض همان افشا قرار می‌گیرد.
بنویسید چه چیزهایی چرخانده شد، چون حسابرسی بعدی خواهد پرسید.
رد را ثابت کنید، سپس جایگزینی را ثبت کنید
جایگزینی وقتی کامل است که دو واقعیت برقرار باشد: هویت تازه برای سرویس مورد نظر کار می‌کند، و قدیمی رد می‌شود. دومی را با اعتبارنامه بازنشسته از محیط آزمون، یا با تلاش کنترل‌شده‌ای که سازمان تأیید می‌کند بررسی کنید، و گزارش‌های دروازه را بخوانید تا تأیید کنید که رد از سیاست آمده نه از یک غلط تایپی. سپس شناسه قدیمی، شناسه تازه و زمان تغییر را ثبت کنید، چون این سه مقدار همان چیزی است که بازرس برای بازسازی لازم دارد. هیچ چیز دیگری در تیکت این شکاف را توضیح نخواهد داد.
کلیدهای خصوصی را بیرون از تیکت‌ها و گفتگو نگه دارید، و صادرات کهنه را طبق سیاست از انبار و پشتیبان‌ها بردارید.
جایگزینی بدون آزمون رد، یک فرض است نه یک اصلاح.