Substituír unha clave VPN filtrada: que debe facer o servidor

Perdeuse un portátil que levaba unha clave de cliente, e a primeira acción adoita ser borrar a copia local. Iso non cambia nada no servidor, que aínda conserva unha autorización que aceptará esa clave ata que alguén a elimine. A substitución son dúas operacións, e só a segunda afecta a credencial antiga.

A copia local non é a autoridade

Unha credencial VPN acéptase porque a configuración do servidor así o di. No caso dos certificados iso significa que o certificado encadea cun emisor de confianza e non aparece nunha lista de revogación que consulta a pasarela. No caso de WireGuard significa que a clave pública do par aparece na configuración da interface. Borrar un ficheiro nun cliente elimina unha copia dun segredo e deixa intacta a regra de aceptación.

Iso é por que unha clave roubada segue funcionando despois da limpeza evidente, e por que o incidente parece sen resolver aínda que se instale a nova configuración.

Comeza pola regra do servidor e logo avanza cara ao cliente.

Certificados: o servidor ten a decisión

Emite a substitución mediante o proceso do propio emisor para que a nova identidade quede rexistrada, e despois retira a antiga cunha revogación asinada. A pasarela ten que estar configurada para consultar esa fonte de revogación e ten que recargala, ou o ficheiro queda no disco mentres o túnel segue aceptando o número de serie antigo. As sesións activas tamén poden sobrevivir ata a renegociación, así que planifica unha reconexión.

Confirma que a substitución funciona para a aplicación prevista e despois confirma mediante un proceso aprobado que o certificado retirado xa non establece acceso.

Son dúas probas distintas e cómpre facer as dúas. RFC 5280 define a semántica de certificados e revogación na que se apoia a pasarela.

WireGuard: a clave do par é a identidade

WireGuard non ten capa de certificados: a clave pública do par é a identidade, e a entrada allowed-ips do servidor é a autorización. Eliminar o par antigo da configuración da interface é a revogación, e aplícase de inmediato aos novos handshakes.

As sesións existentes rematan cando falla o seguinte handshake, o que adoita ocorrer nuns minutos en lugar de inmediatamente.

Distribúe a nova configuración por unha canle na que confiarías un contrasinal, porque a clave privada é a credencial. Mantén unha clave por dispositivo, para que un único dispositivo perdido non obrigue a cambiar todos.

Que máis había nese paquete

Un paquete de cliente adoita levar máis ca a clave privada: unha clave TLS estática, un nome de usuario e contrasinal, un segredo precompartido ou un token de aprovisionamento. Limita o incidente ao que realmente quedou exposto e rota tamén eses elementos. Rotar o certificado mentres queda unha clave estática compartida pecha unha porta e deixa outra aberta.

Se o paquete se compartiu entre dispositivos, todos os que o leven herdan a exposición.

Anota o que se rotou, porque a próxima auditoría preguntarao.

Demostra a denegación e logo rexistra a substitución

A substitución está completa cando se cumpren dous feitos: a nova identidade funciona para o servizo previsto e a antiga é rexeitada. Verifica o segundo coa credencial retirada desde un ambiente de probas, ou cun intento controlado que a organización aprobe, e le os rexistros da pasarela para confirmar que o rexeitamento veu da política e non dun erro de escritura. Despois rexistra o identificador antigo, o novo e a hora do cambio, porque eses tres valores son os que un auditor necesita para reconstruílo. Ningunha outra cousa no ticket explicará o oco.

Mantén as claves privadas fóra dos tickets e das conversas, e elimina as exportacións obsoletas do almacenamento e das copias de seguridade segundo a política.

Unha substitución sen proba de denegación é unha suposición e non unha solución.