ノートPCを廃棄する前にVPNプロファイルを棚卸しする

ノートPCはリース会社へ、同僚へ、あるいはリサイクル業者へと戻っていく。その内部のどこかには、誰かとして認証するVPNプロファイルがあり、切断されたクライアントのアイコンは、それらが消えたことを意味しない。必要なのは身元と所有者の一覧であり、鍵をコピーしたフォルダではない。前者は役に立ち、後者は日付を待つ新しい事故になる。

五つの手順で、マシンがすでに自分について知っていることから始める。

手順 1: システムがインストール済みと見なすものを列挙する

Windows では Get-VpnConnection と Get-VpnConnection -AllUserConnection が両方のスコープでネイティブプロファイルを一覧し、インストール済みプログラムの表示がサードパーティ製クライアントを拾う。macOS ではネットワークパネルが設定済みのサービスを表示し、プロファイルはシステム構成の中にあり、閲覧できるフォルダにはない。Linux では NetworkManager が接続ファイルを保持し、トンネルのデーモンがそれぞれ独自のものを保持する。何かを削除する前に一覧を書き留める。

インストールされていても表示されるプロファイルがないクライアントも、システムの保管庫にキャッシュされた資格情報を保持している可能性があるため重要である。

手順 2: クライアントが保持するプロファイルを見つける

プラットフォームを知れば、プロファイルは予測できる場所に隠れている。Windows は電話帳をユーザープロファイルの下と ProgramData の下に置き、証明書は個人ストアにある。macOS はネットワークサービスをシステム構成の plist に、資格情報を Keychain に置く。Linux ディストリビューションは NetworkManager の接続を /etc/NetworkManager/system-connections/ に、WireGuard や OpenVPN の定義を /etc/wireguard/ と /etc/openvpn/ に置く。これらのパスのファイルは、しばしば秘密鍵をそのまま内包している。

名前だけでなく内容でも検索する。backup.txt という名前のファイルが、鍵を中に持つ OpenVPN プロファイルであることもある。

手順 3: 鍵素材ではなく所有権を記録する

各プロファイルについて、識別子、所有者、最後の既知の使用、正規のコピーがある場所を記録する。鍵、証明書、パスワードを棚卸しにコピーしてはならないのは、棚卸しがチケットや表計算、チャット を通じて移動し、ノートPCより長く残るからである。プロファイル X の運用者ボールトの項目のような参照で行動には足りる。

廃棄を助けるはずだった秘密を含む棚卸しは、問題を大きくしてしまった。

手順 4: 両端で身元を廃止する

ファイルを削除しても一つのコピーが消えるだけである。その端末が二度と信頼されないなら、別の場所のコピーが依然として認証できるため、運用者に認可の削除、証明書の失効、アカウントの削除を依頼する。管理対象プロファイルとマシン証明書には、両端をすでに把握している廃止手順があるのが普通で、即席で作るより速い。なじみのないシステム項目は、誰のものか分かるまで触らない。

遠隔での失効を伴わないローカル削除は片付けであり、廃止ではない。

手順 5: 忘れていたバックアップを確認する

古いエクスポートは、ダウンロードフォルダ、バックアップのアーカイブ、メモファイル、そして二つ前の仕事の外付けドライブに残っている。自分が管理するものを確認し、失効したプロファイルのアーカイブは記録であり使える鍵ではないため、必要な履歴記録は有効な資格情報と分けて保管する。

最後に最終状態を確認する：意図したアクセスはもう機能せず、アカウントの所有者はそれが削除されたことを知っている。