Kadonneen VPN-laitteen mitätöinti: avain, varmenne vai tili

Kannettavasi on poissa, ja VPN luettelee sen yhä asiakkaaksi. Kiireellinen kysymys ei ole, miten profiili poistetaan koneelta, jota sinulla ei enää ole, vaan minkä identiteetin palvelin yhä hyväksyy. WireGuard tarkistaa julkisen avaimen, PKI-pohjainen OpenVPN asennus tarkistaa asiakasvarmenteen ja SSO:ta käyttävä VPN tarkistaa tilin ja sen istuntotunnuksen. Nämä kolme mitätöidään eri paikoissa ja eri nopeudella, ja yhden korjaaminen muut sivuuttaen on se tapa, jolla kadonnut laite pysyy yhdistettynä.

Kolme identiteettiä ja mitä kukin niistä ohjaa

Jokainen mekanismi vastaa eri kysymykseen. Vertaisavain vastaa, onko tämä se kone, jonka rekisteröit. Varmenne vastaa, allekirjoittiko CA:si sen ja onko se mitätöimätön. Tili vastaa, onko tämä henkilö todentanut itsensä riittävän äskettäin. Käyttöönotto, joka kerrostaa kaksi niistä, esimerkiksi varmenteen ja hakemistokirjautumisen, sulkee oven vasta, kun jokaiselle kerrokselle, joka antoi laitteelle jotain, on sanottu että lakkaa hyväksymästä sitä.

Käytännön ansa on, että puuttuva kone pitää hallussaan kunkin valtuuden yksityistä puoliskoa, joten mikään paikallisesti tekemäsi ei tavoita palvelinta.

WireGuard: poista vertaislaite, koska mitätöintilistaa ei ole

WireGuard ei pidä kieltolistaa. Rajapinta hyväksyy täsmälleen ne julkiset avaimet, jotka on määritetty vertaisiksi, joten mitätöinti on poistamista: suorita wg set wg0 peer <public-key> remove, muoto, joka on dokumentoitu kohdassa wg(8), ja poista sitten vastaava [Peer]-lohko tiedostosta wg0.conf. Tee molemmat. Vain ajon aikana tehty poisto kestää seuraavaan uudelleenkäynnistykseen tai asetusten uudelleenlataukseen, jolloin tiedosto palauttaa avaimen.

Olemassa olevat istunnot eivät tarvitse ajastinta kuollakseen. Vertaisen poisto pudottaa sen kättelyn ja avainmateriaalin, joten liikenne pysähtyy heti, kun kelvollista avainparia vaaditaan taas. Tarkista palvelimella wg show wg0 latest-handshakes: kadonneen avaimen merkinnän pitäisi kadota ja pysyä poissa, kun taas muut vertaiset raportoivat edelleen tuoreita aikakausia.

Yksi varoitus on tärkeämpi kuin miltä näyttää. Jos kadonnut laite jakoi avaimen muiden laitteiden kanssa, koska joku kopioi yhden asetustiedoston, avaimen poistaminen katkaisee ne kaikki; se on silti oikea liike, ja sen jälkeen myönnät avaimet laitekohtaisesti sen sijaan että palauttaisit jaetun.

Varmenteet: CRL merkitsee vain, jos daemon lukee sen

Varmenneperusteinen pääsy lisää vaiheen, jonka ihmiset ohittavat. easyrsa revoke laptop-01 merkitsee varmenteen mitätöidyksi CA-tietokannassa, mutta VPN ei opi siitä tietokannasta mitään. Sitten suoritat easyrsa gen-crl kirjoittaaksesi crl.pem, kopioit sen polkuun, joka on nimetty palvelimen crl-verify-asetuksessa, ja vahvistat, että käynnissä oleva daemon käyttää uutta tiedostoa. Mitätöinti ilman CRL:n uudelleenluontia ja jakelua on tehotonta.

Ajoitus on toinen puoli. CRL:ään tutustutaan, kun asiakas yhdistää tai neuvottelee uudelleen, joten muodostettu tunneli voi jatkaa välittämistä siihen asti. Jos laite on katkaistava heti, lopeta kyseinen istunto nimenomaisesti OpenVPN:n hallintarajapinnan kautta sen sijaan että odottaisit seuraavaa kättelyä. Palvelun uudelleenlataus tai uudelleenkäynnistys, riippuen siitä miten käyttöönotto lataa CRL:n, on osa muutosta eikä valinnainen lisä.

Tarkistus kannattaa tehdä toiselta koneelta: esitä mitätöity varmenne ja odota kättelyn epäonnistumista, tyypillisesti VERIFY ERROR: depth=0, error=certificate revoked. Jos yhteys silti onnistuu, asiakas lukee eri CRL:ää kuin se, jonka päivitit.

Tilit ja istunnot: poistaminen käytöstä ei ole sama kuin ulos heittäminen

Hakemisto- tai SSO-kirjautumiset tarkistetaan todennuksen hetkellä. Tilin poistaminen käytöstä estää seuraavan kirjautumisen, mutta päivitystunnus ja muodostettu tunneli voivat jatkaa toimintaansa, kunnes ne vanhenevat. Mitätöi kyseisen käyttäjän istunnot ja tunnukset tai kasvata istuntoversiota, jos identiteetintarjoaja tukee sitä. Poista kadonnut laite myös MFA-rekisteröinnistä, sillä rekisteröity todennuslaite on itsessään pääsytie.

RADIUS-pohjaiset VPN:t voivat lähettää katkaisuviestin tai valtuutusmuutoksen aktiivisen istunnon pudottamiseksi, mutta kaikki verkon käyttöoikeuspalvelimet eivät noudata sitä. Epäselvässä tapauksessa lopeta käyttäjän istunto palvelimen puolelta ja vahvista lokeista, että vanha istunto sulkeutui.

Toimien järjestys seuraavalle tunnille

Aloita inventaariosta, älä asiakkaasta: luettele jokainen laitteeseen sidottu identiteetti, olipa se vertaisavain, varmenteen sarjanumero tai tili. Mitätöi jokaisessa myöntävässä järjestelmässä siinä järjestyksessä, jossa yhteys rakennetaan, eli ensin tili, sitten varmenne, sitten vertaislaite. Todista sitten kieltäytyminen koneelta, jota hallitset.

Kaksi jatkotoimea on helppo unohtaa. Ensinnäkin vaihda kaikki muu, mitä laite piti hallussaan, erityisesti SSH-avaimet, pilvikonsolin valtuudet ja jaettu ennalta jaettu WireGuard-avain. Toiseksi tarkista, etteivät asetustenhallinta, tilannekuvat tai kultaiset levykuvat voi tuoda poistettua asiakasta takaisin seuraavassa uudelleenrakennuksessa.

Kestävä ratkaisu on yksi identiteetti laitetta kohden. Kun jokaisella kannettavalla on oma vertaisavaimensa tai varmenteensa, menetys maksaa yhden mitätöintikomennon ja uudelleenmyönnön koko laivaston uudelleenrakennuksen sijaan.