Votre réinstallation n'a pas révoqué les identifiants VPN volés

Effacer un ordinateur portable compromis ressemble à la fin de l'incident. C'en est généralement le milieu. Un mot de passe, un jeton de session ou un profil VPN exporté copiés de cette machine survivent à la réinstallation totalement intacts, car rien dans le formatage d'un disque n'atteint le serveur qui les accepte. La récupération de l'appareil et celle du compte sont deux tâches aux horloges différentes.

Deux incidents, deux horloges

Le travail sur l'appareil est local et rapide : reconstruire, corriger, restaurer les données. Le travail sur le compte est distant et plus lent, car il dépend de ce que le fournisseur expose et de si vous contrôlez encore le canal de récupération. Faire d'abord le travail rapide semble productif et laisse l'exposition réelle exactement où elle était.

Traitez l'ordinateur portable comme non fiable jusqu'à ce que le travail sur le compte soit terminé. L'utiliser pour récupérer le compte revient à utiliser une machine qui peut déjà héberger un enregistreur de frappe.

Trois conditions qui fixent l'ordre

Établissez-les avant de toucher quoi que ce soit, car elles décident si la récupération prend quinze minutes ou une escalade vers le support.

Premièrement, ce qui se trouvait sur l'appareil : un mot de passe que vous avez saisi, un certificat client avec sa clé privée, un jeton de session enregistré, ou les trois. Deuxièmement, ce que le fournisseur vous laisse révoquer vous-même, car certains services exposent des listes d'appareils et de sessions tandis que d'autres n'offrent qu'un champ de mot de passe et rien d'autre. Troisièmement, si le canal de récupération est toujours le vôtre, c'est-à-dire la boîte aux lettres et le numéro de téléphone rattachés au compte. Si le troisième est compromis, tout le reste attend.

Écrivez les réponses. Un incident où vous ne pouvez pas dire ce qui a été copié est un incident que vous ne pouvez pas clore.

Remplacez ce qui peut être rejoué

Tout ce qui peut être rejoué doit être remplacé, pas seulement modifié sur la nouvelle machine. Les mots de passe, les certificats d'appareil et les profils exportés sont tous concernés. Les recommandations de NIST sur le cycle de vie des authentificateurs décrivent l'invalidation rapide d'un authentificateur compromis et l'exigence d'une notification indépendante lorsqu'un autre authentificateur est lié, ce qui est la bonne forme du travail même là où un VPN grand public expose moins de contrôles.

Ensuite, terminez les sessions. Un changement de mot de passe n'invalide pas de manière fiable les jetons existants, et un profil VPN déjà installé sur une autre machine continue de fonctionner jusqu'à ce que son identifiant soit révoqué. Vérifiez ce que le service documente, pas ce que vous espérez qu'il fasse.

Reconstruisez sans restaurer la compromission

La réinstallation est la partie facile, et c'est là que les gens défont leur propre travail. Restaurer une sauvegarde complète peut ramener le même profil enregistré, la même session de navigateur et le même magasin d'identifiants. Examinez ce que la restauration importe réellement, puis réenrôlez l'appareil via le flux pris en charge avec du matériel récemment émis.

Gardez les appareils dissociables séparément là où le service le permet. Un profil par appareil est le détail qui transforme un futur incident en une seule révocation au lieu d'une course à l'échelle de toute la flotte.

Décidez quand l'incident est terminé

Il est terminé lorsque trois choses sont vraies. L'accès légitime fonctionne depuis l'appareil reconstruit. Les identités exposées ont été retirées via des contrôles que vous pouvez réellement voir. Et les méthodes de récupération restantes, la boîte aux lettres, le numéro de téléphone, les codes de secours, vous appartiennent. Une installation propre qui se connecte ne satisfait que la première.

Si vous ne pouvez pas inspecter ou supprimer un authentificateur ou un contact de récupération inattendu, escaladez via le processus de support vérifié. Réinstaller localement ne corrigera jamais une méthode de récupération contrôlée par quelqu'un d'autre.