Inicio de sesión VPN filtrado: que desbloquea e que non

Cando un contrasinal VPN aparece nun sitio de pegado, a primeira pregunta útil é que tiña permitido autorizar esa conta, non como de forte era o cifrado. Son dous problemas separados con probas separadas, e fusionelos produce á vez pánico e falso consolo. Un contrasinal pode abrir un túnel, rexistrar un dispositivo ou desbloquear un portal, mentres que as claves que protexen o tráfico durante unha sesión derívanse noutro lugar e nunca se entregan co inicio de sesión. Anote que se filtrou antes de decidir cal dos dous problemas ten.

Anote que se expuxo realmente

Catro incidentes distintos denúncianse como un só. Un contrasinal escrito nunha páxina de phishing, unha clave de dispositivo copiada dun sistema de ficheiros, un segredo de túnel compartido publicado dentro dun paquete de configuración e un punto final en execución cuxa memoria foi capturada son catro exposicións distintas. Cada unha sostén unha resposta distinta sobre o que ocorre despois, e os pasos de contención diverxen de inmediato.

Pida o artefacto, non a descrición: un nome de ficheiro, unha liña de configuración, unha captura de pantalla co seu encabezado ou a frase exacta do informe. O detalle degrádase cada vez que se volve contar un incidente.

Inventaríe a autoridade que leva a conta

Tome a conta e enumere que permite a admisión a ela. Os destinos, os protocolos e os portos van primeiro, logo as operacións que permiten eses destinos, logo as identidades separadas que aínda están entre o túnel e os datos. Un servidor de ficheiros que pide a súa propia autenticación non se abre coa admisión ao túnel, e iso é un feito que verificar, non unha razón para relaxarse. As mesmas palabras, credenciais VPN, poden describir unha saída persoal a internet e unha conta de empregado que chega a un sistema documental, por iso o inventario corresponde por conta.

Logo enumere as outras superficies da conta. Cando a mesma identidade inicia sesión nun portal de servizos, averigüe que permite o portal: ler datos da conta, descargar perfís, rexistrar outro dispositivo ou cambiar o acceso. Non supoña que esas funcións existen nin que están ausentes; lea a configuración despregada e o comportamento documentado do produto.

Remate a sesión, non só o contrasinal

Cambiar un contrasinal e rematar toda autorización son accións distintas na maioría das plataformas, e a fenda entre elas é onde un intruso segue traballando. Identifique o certificado ou a credencial do dispositivo detrás da sesión, revógueo e confirme que o servidor realmente consulta os datos de revocación.

Cunha CA ao estilo Easy-RSA a secuencia é curta, e o último paso é o que se salta.

openssl x509 -in vpn-client.crt -noout -serial -subject -dates
./easyrsa revoke vpn-client
./easyrsa gen-crl

O servidor debe cargar esa lista mediante a súa opción de revocación antes de que o cambio signifique algo, e unha sesión xa establecida pode sobrevivir ata que volva negociar. Remátea explicitamente se o produto ofrece ese control, e rexistre que rematou, cando e para que identidade.

As claves de tráfico son unha investigación aparte

TLS 1.3 deriva as claves de protección de rexistros dos segredos do handshake, e cun intercambio de claves efémero eses segredos existen só para esa sesión e non poden recuperarse da clave privada de longo prazo do servidor. Especificación TLS trata a protección de rexistros como un mecanismo criptográfico e non como unha consecuencia de que o contrasinal da conta siga sendo confidencial. Por iso un inicio de sesión roubado non é proba de que os paquetes capturados anteriormente se volvesen lexibles, e tampouco é unha garantía do contrario, xa que a versión do protocolo, o modo de handshake e o material realmente exposto deciden a resposta.

Un paquete que contén unha clave privada ou un segredo compartido estático traslada o caso á outra categoría. Tamén o fai un punto final comprometido, onde poden existir datos de aplicación lexibles e material de sesións activas por moi coidadosamente que se cifrase o túnel.

Contéñase por material e logo verifique que ocorreu

Para unha exposición só de contrasinal o traballo é a rotación de credenciais, a terminación de sesións, a revisión do portal e a comprobación do mesmo contrasinal noutros sistemas. Para material de clave tamén inclúe substituír a clave, reemitir certificados e revisar todo o que esa clave protexía, que é unha lista considerablemente máis longa.

Logo estableza a fronteira de probas antes de que a rotación sobrescriba o rastro. Unha entrada do rexistro do túnel proba a admisión, unha entrada do rexistro da aplicación proba un inicio de sesión de aplicación, e ningunha proba á outra.

journalctl -u openvpn-server@server --since "2026-11-01" --no-pager

Manteña a credencial mesma fóra do informe do incidente. O informe necesita a conta, o intervalo de tempo e a ruta das probas, non o segredo que iniciou a investigación.