Inventoriez les profils VPN d’un ordinateur portable avant de le réformer

L’ordinateur portable retourne à la société de leasing, à un collègue ou au recycleur. Quelque part à l’intérieur se trouvent des profils VPN qui s’authentifient comme quelqu’un, et une icône de client déconnecté ne signifie pas qu’ils ont disparu. L’inventaire que vous voulez est une liste d’identités et de propriétaires, pas un dossier de clés copiées. Le premier est utile ; le second est un nouvel incident qui attend une date.

Cinq étapes, en partant de ce que la machine sait déjà d’elle-même.

Étape 1 : listez ce que le système croit installé

Sous Windows, Get-VpnConnection et Get-VpnConnection -AllUserConnection listent les profils natifs dans les deux portées, et la vue des programmes installés attrape les clients tiers. Sous macOS, le panneau Réseau affiche les services configurés, et les profils vivent dans la configuration système plutôt que dans un dossier que vous pouvez parcourir. Sous Linux, NetworkManager conserve les fichiers de connexion et les démons de tunnel les leurs. Notez la liste avant de supprimer quoi que ce soit.

Un client installé mais sans profil visible compte quand même, car il peut conserver des identifiants mis en cache dans un magasin système.

Étape 2 : trouvez les profils que les clients conservent

Les profils se cachent à des endroits prévisibles dès que vous connaissez la plateforme. Windows conserve les carnets de téléphone sous le profil utilisateur et sous ProgramData, avec les certificats dans le magasin personnel. macOS conserve les services réseau dans le plist de configuration système et les identifiants dans le Keychain. Les distributions Linux conservent les connexions NetworkManager dans /etc/NetworkManager/system-connections/, et les définitions WireGuard ou OpenVPN dans /etc/wireguard/ et /etc/openvpn/. Les fichiers de ces chemins portent souvent une clé privée directement à l’intérieur.

Cherchez par contenu autant que par nom. Un fichier nommé backup.txt peut être un profil OpenVPN avec une clé à l’intérieur.

Étape 3 : consignez la propriété, pas le matériel de clé

Pour chaque profil, consignez l’identifiant, le propriétaire, le dernier usage connu et l’emplacement de la copie de référence. Ne copiez pas la clé, le certificat ou le mot de passe dans l’inventaire, parce que un inventaire circule dans des tickets, des tableurs et des discussions, et il survivra à l’ordinateur portable. Une référence comme l’entrée de coffre de l’opérateur pour le profil X suffit pour agir.

Un inventaire qui contient les secrets qu’il devait aider à retirer a rendu le problème plus grand.

Étape 4 : retirez l’identité aux deux bouts

Supprimer un fichier retire une copie. Si l’appareil ne sera plus jamais digne de confiance, demandez à l’opérateur de retirer son autorisation, de révoquer son certificat ou de supprimer le compte, car une copie ailleurs s’authentifie encore. Les profils gérés et les certificats machine ont généralement un processus de décommissionnement qui connaît déjà les deux bouts, et il est plus rapide que d’en improviser un. Laissez tranquilles les entrées système que vous ne connaissez pas jusqu’à savoir à qui elles appartiennent.

La suppression locale sans révocation distante est un nettoyage, pas un décommissionnement.

Étape 5 : vérifiez les sauvegardes que vous avez oubliées

Les anciens exports vivent dans des dossiers de téléchargement, dans des archives de sauvegarde, dans un fichier de notes et sur le disque externe de deux emplois plus tôt. Vérifiez ceux que vous contrôlez, et gardez tout enregistrement historique nécessaire séparé des identifiants actifs, car une archive d’un profil révoqué est un enregistrement et non une clé opérationnelle.

Vérifiez ensuite l’état final : l’accès prévu ne fonctionne plus, et la personne propriétaire du compte sait qu’il a été retiré.