Kiszivárgott VPN-kulcs cseréje: mit kell tennie a kiszolgálónak

Elveszett egy ügyfélkulcsot hordozó laptop, és az első lépés általában a helyi másolat törlése. Ez semmit sem változtat a kiszolgálón, amely még mindig olyan engedélyezést tart, amely elfogadja azt a kulcsot, amíg valaki el nem távolítja. A csere két művelet, és csak a második érinti a régi hitelesítő adatot.

A helyi másolat nem a döntő példány

Egy VPN-hitelesítő adat azért elfogadott, mert a kiszolgálóoldali konfiguráció ezt mondja. Tanúsítványoknál ez azt jelenti, hogy a tanúsítvány megbízható kibocsátóhoz láncolódik, és nem szerepel azon a visszavonási listán, amelyet az átjáró megkérdez. WireGuardnál ez azt jelenti, hogy a partner nyilvános kulcsa szerepel az interfész konfigurációjában. Egy fájl törlése az ügyfélen egy példányt távolít el egy titokból, és az elfogadási szabályt érintetlenül hagyja.

Ezért működik tovább az ellopott kulcs a nyilvánvaló tisztítás után, és ezért tűnik megoldatlannak az incidens akkor is, amikor az új konfiguráció már telepítve van.

Kezdje a kiszolgáló szabályával, majd haladjon kifelé az ügyfél felé.

Tanúsítványok: a döntés a kiszolgálónál van

A cserét a kibocsátó saját folyamatán keresztül adja ki, hogy az új identitás rögzüljön, majd aláírt visszavonással vonja vissza a régit. Az átjárót be kell állítani, hogy megkérdezze ezt a visszavonási forrást, és újra be kell töltenie, különben a fájl a lemezen marad, miközben az alagút továbbra is elfogadja a régi sorozatszámot. Az aktív munkamenetek is túlélhetik az újratárgyalásig, ezért tervezzen újracsatlakozást.

Erősítse meg, hogy a csere működik a szándékolt alkalmazásnál, majd jóváhagyott folyamaton keresztül erősítse meg, hogy a nyugdíjazott tanúsítvány már nem létesít hozzáférést.

Ez két különböző teszt, és mindkettő szükséges. Az RFC 5280 határozza meg azt a tanúsítvány- és visszavonási szemantikát, amelyre az átjáró támaszkodik.

WireGuard: a partnerkulcs maga az identitás

A WireGuardnak nincs tanúsítványrétege: a partner nyilvános kulcsa az identitás, a kiszolgáló allowed-ips bejegyzése pedig az engedélyezés. A régi partner eltávolítása az interfész konfigurációjából maga a visszavonás, és azonnal érvényes az új kézfogásokra.

A meglévő munkamenetek akkor érnek véget, amikor a következő kézfogás meghiúsul, ami általában néhány percen belül történik meg, nem azonnal.

Az új konfigurációt olyan csatornán ossza ki, amelyre jelszót bízna, mert a privát kulcs a hitelesítő adat. Egy kulcsot tartson eszközönként, hogy egyetlen elveszett eszköz ne kényszerítse minden eszköz cseréjét.

Mi más volt még abban a csomagban

Az ügyfélcsomag gyakran többet hordoz a privát kulcsnál: statikus TLS-kulcsot, felhasználónevet és jelszót, előre megosztott titkot vagy kiépítési tokent. Szűkítse az incidenst arra, ami valóban kikerült, és forgassa ezeket is. A tanúsítvány forgatása úgy, hogy közben egy megosztott statikus kulcs a helyén marad, bezár egy ajtót, és nyitva hagy egy másikat.

Ha a csomagot eszközök között osztották meg, minden őt hordozó eszköz örökli a kitettséget.

Írja fel, mi lett forgatva, mert a következő audit ezt fogja kérdezni.

Bizonyítsa az elutasítást, majd rögzítse a cserét

A csere akkor teljes, ha két tény fennáll: az új identitás működik a szándékolt szolgáltatásnál, a régi pedig elutasításra kerül. A másodikat a nyugdíjazott hitelesítő adattal ellenőrizze tesztkörnyezetből, vagy a szervezet által jóváhagyott ellenőrzött kísérlettel, és olvassa el az átjáró naplóit, hogy megbizonyosodjon róla: az elutasítás szabályból, nem elírásból származik. Ezután rögzítse a régi azonosítót, az újat és a változás idejét, mert ez a három érték az, amire egy auditornek a rekonstrukcióhoz szüksége van. Semmi más a jegyben nem fogja megmagyarázni a hézagot.

Tartsa a privát kulcsokat a jegyeken és csevegéseken kívül, és a szabályzat szerint távolítsa el az elavult exportokat a tárolóból és a biztonsági mentésekből.

Az elutasítási teszt nélküli csere feltevés, nem javítás.