Lekið VPN-innskráning: hvað það opnar og hvað ekki

Þegar VPN-lykilorð birtist á límsíðu er gagnleg fyrsta spurning hvað þeim reikningi var heimilt að heimila, ekki hve sterk dulkóðunin var. Þetta eru tvö aðskilin vandamál með aðskildum sönnunum, og að blanda þeim saman skapar bæði skelfingu og falskt öryggi. Lykilorð getur opnað göng, skráð tæki eða opnað gátt, á meðan lyklarnir sem vernda umferð í lotu eru leiddir annars staðar og eru aldrei afhentir með innskráningunni. Skrifaðu niður hvað lekið var áður en þú ákveður hvort vandamálið er.

Skrifaðu niður hvað var í raun afhjúpað

Fjögur mismunandi atvik eru tilkynnt sem eitt. Lykilorð slegið inn á veiðisíðu, tækislykill afritaður úr skráarkerfi, sameiginleg ganganarleynd sem birt var í stillingapakka og keyrandi endapunktur sem minni var gripið úr eru fjögur aðskilin afhjúpanir. Hvert styður aðra svörun um hvað gerist næst, og aðgerðir til að hemja sundrast þegar í stað.

Biddu um gripinn frekar en lýsinguna: skráarnafn, stillingarlínu, skjáskot með hausnum eða nákvæma setninguna í skýrslunni. Smáatriði hrörna í hvert sinn sem atvik er sagt aftur.

Gerðu skrá yfir heimildirnar sem reikningurinn ber

Taktu reikninginn og listaðu hvað aðgangur að honum leyfir. Áfangastaðir, samskiptareglur og gáttir koma fyrst, þá aðgerðirnar sem þessir áfangastaðir leyfa, þá aðskildu auðkennin sem enn standa milli ganganna og gagnanna. Skráarþjónn sem krefst eigin auðkenningar opnast ekki með aðgangi að göngunum, og það er staðreynd sem þarf að sannreyna, ekki ástæða til að slaka á. Sömu orðin, VPN-skírteini, geta lýst persónulegri netútgöngu og starfsmannareikningi sem nær í skjalakerfi, þess vegna er skráin fyrir hvern reikning.

Listaðu síðan aðra fleti reikningsins. Þegar sama auðkenni skráir sig inn á þjónustugátt, finndu út hvað gáttin leyfir: að lesa reikningsgögn, sækja snið, skrá annað tæki eða breyta aðgangi. Ekki gera ráð fyrir að þessar aðgerðir séu til né að þær vanti; lestu uppsettu stillingarnar og skjalfesta hegðun vörunnar.

Ljúktu lotunni, ekki bara lykilorðinu

Að breyta lykilorði og að enda hverja heimild eru mismunandi aðgerðir á flestum kerfum, og í bilinu þar á milli heldur innrásarmaður áfram að vinna. Auðkenndu skírteinið eða tækisauðkennið bak við lotuna, afturkallaðu það og staðfestu að þjónninn ráðfæri sig í raun við afturköllunargögnin.

Með CA í Easy-RSA stíl er röðin stutt, og síðasta skrefið er það sem er sleppt.

openssl x509 -in vpn-client.crt -noout -serial -subject -dates
./easyrsa revoke vpn-client
./easyrsa gen-crl

Þjónninn verður að hlaða þeim lista gegnum afturköllunarvalkostinn sinn áður en breytingin þýðir eitthvað, og lota sem þegar er komin á getur lifað þar til hún semur aftur. Endaðu hana skýrt ef varan býður upp á þá stjórn, og skráðu hvað þú endaðir, hvenær og fyrir hvaða auðkenni.

Ferðarlyklar eru aðskilin rannsókn

TLS 1.3 leiðir verndarlykla færslna út frá leyndarmálum handrar, og með skammvinnri lyklaskiptum eru þau leyndarmál aðeins til fyrir þá lotu og ekki hægt að endurheimta þau úr langtímelykli þjónsins. TLS-forskrift meðhöndlar færsluvernd sem dulritunarfræðilega aðferð frekar en afleiðingu af því að lykilorð reikningsins haldist trúnaðarmál. Þess vegna er stolið innskráning ekki sönnun þess að fyrri gripnir pakkar hafi orðið læsilegir, og það er heldur ekki trygging fyrir hinu gagnstæða, því útgáfa samskiptareglnanna, háttur handrar og efnið sem í raun var afhjúpað ráða svörunni.

Pakki sem inniheldur einkalykil eða fast sameiginlegt leyndarmál færir málið í hinn flokkinn. Sama gerir endapunktur sem hefur verið brotinn, þar sem læsileg forritsgögn og efni lifandi lota geta verið til, sama hve vandlega göngin sjálf voru lykluð.

Hemjaðu eftir efni, sannreyndu síðan hvað gerðist

Fyrir afhjúpun lykilorðs eingöngu er verkið snúningur skírteina, lok lota, endurskoðun gáttarinnar og athugun á sama lykilorði á öðrum kerfum. Fyrir lyklaefni felur það einnig í sér að skipta um lykil, endurútgefa skírteini og fara yfir allt sem sá lykill verndaði, sem er mun lengri listi.

Staðfestu síðan sönnunarmörkin áður en snúningurinn yfirskrifar slóðina. Færsla í gönguskrá sannar aðgang, færsla í forritsskrá sannar innskráningu í forrit, og hvorugt sannar hitt.

journalctl -u openvpn-server@server --since "2026-11-01" --no-pager

Haltu skírteininu sjálfu utan atviksskýrslunnar. Skýrslan þarf reikninginn, tímabilið og slóð sönnunargagnanna, ekki leyndarmálið sem hóf rannsóknina.