Vuotaneen VPN-avaimen korvaaminen: mitä palvelimen on tehtävä

Asiakasavaimen sisältänyt kannettava tietokone katosi, ja ensimmäinen toimi on yleensä paikallisen kopion poistaminen. Se ei muuta palvelimella mitään, koska palvelin pitää yhä valtuutusta, joka hyväksyy kyseisen avaimen, kunnes joku poistaa sen. Korvaaminen on kaksi toimenpidettä, ja vain toinen koskee vanhaa tunnistetietoa.

Paikallinen kopio ei ole ratkaiseva

VPN-tunnistetieto hyväksytään, koska palvelinpuolen kokoonpano sanoo niin. Varmenteissa se tarkoittaa, että varmenne ketjuttuu luotettuun myöntäjään eikä esiinny peruutusluettelossa, jota yhdyskäytävä tarkistaa. WireGuardissa se tarkoittaa, että vertaislaitteen julkinen avain esiintyy liittymän kokoonpanossa. Tiedoston poistaminen asiakkaalta poistaa yhden kopion salaisuudesta ja jättää hyväksyntäsäännön koskemattomaksi.

Siksi varastettu avain toimii edelleen ilmeisen siivouksen jälkeen, ja siksi tapaus tuntuu ratkaisemattomalta, vaikka uusi kokoonpano on asennettu.

Aloita palvelimen säännöstä ja etene sitten ulospäin asiakkaaseen.

Varmenteet: päätös on palvelimella

Myönnä korvaava varmenne myöntäjän omalla prosessilla, jotta uusi identiteetti kirjataan, ja peruuta sitten vanha allekirjoitetulla peruutuksella. Yhdyskäytävä on määritettävä tarkistamaan tämä peruutuslähde ja ladattava se uudelleen, muuten tiedosto jää levylle, kun tunneli hyväksyy yhä vanhan sarjanumeron. Aktiiviset istunnot voivat myös säilyä uudelleenneuvotteluun asti, joten suunnittele uudelleenyhdistäminen.

Vahvista, että korvaava toimii aiottuun sovellukseen, ja vahvista sitten hyväksytyllä prosessilla, että poistettu varmenne ei enää luo pääsyä.

Nämä ovat kaksi eri testiä ja molemmat tarvitaan. RFC 5280 määrittelee varmenteen ja peruutuksen semantiikan, johon yhdyskäytävä nojaa.

WireGuard: vertaisavain on identiteetti

WireGuardissa ei ole varmennetason kerrosta: vertaislaitteen julkinen avain on identiteetti ja palvelimen allowed-ips-merkintä on valtuutus. Vanhan vertaislaitteen poistaminen liittymän kokoonpanosta on peruutus, ja se koskee uusia kättelyitä heti.

Olemassa olevat istunnot päättyvät, kun seuraava kättely epäonnistuu, mikä tapahtuu yleensä parin minuutin kuluessa eikä heti.

Jaetaan uusi kokoonpano kanavaa pitkin, jolle uskoisit salasanan, koska yksityinen avain on tunnistetieto. Pidä yksi avain laitetta kohden, jotta yksi kadonnut laite ei pakota kaikkia laitteita vaihtamaan.

Mitä muuta siinä paketissa oli

Asiakaspaketti kuljettaa usein muutakin kuin yksityisen avaimen: staattinen TLS-avain, käyttäjänimi ja salasana, ennalta jaettu salaisuus tai provisiointitunnus. Rajaa tapaus siihen, mikä todella altistui, ja kierrätä myös ne kohteet. Varmenteen kierrättäminen jaetun staattisen avaimen jäädessä paikalleen sulkee yhden oven ja jättää toisen auki.

Jos paketti oli jaettu laitteiden kesken, jokainen sen kantava laite perii altistuksen.

Kirjoita muistiin, mitä kierrätettiin, koska seuraava auditointi kysyy sitä.

Todista hylkäys ja kirjaa sitten korvaaminen

Korvaaminen on valmis, kun kaksi tosiasiaa pätee: uusi identiteetti toimii aiottuun palveluun ja vanha hylätään. Vahvista toinen poistetulla tunnistetiedolla testiympäristöstä tai valvotulla yrityksellä, jonka organisaatio hyväksyy, ja lue yhdyskäytävän lokit varmistaaksesi, että hylkäys tuli käytännöstä eikä kirjoitusvirheestä. Kirjaa sitten vanha tunniste, uusi ja muutoksen ajankohta, koska nämä kolme arvoa tarvitaan auditoijalle sen rekonstruoimiseksi. Mikään muu tiketissä ei selitä aukkoa.

Pidä yksityiset avaimet poissa tiketeistä ja chatista, ja poista vanhentuneet viennit tallennuksesta ja varmuuskopioista käytännön mukaisesti.

Korvaaminen ilman hylkäystestiä on oletus, ei korjaus.