再インストールしても盗まれた VPN 認証情報は無効にならない

侵害されたノートパソコンを消去すると、事件が終わったように感じる。たいていは中盤だ。その端末からコピーされたパスワード、セッショントークン、エクスポートされた VPN プロファイルは、ディスクをフォーマットしてもそれを受け入れるサーバーには何も届かないため、再インストールを完全にすり抜けて生き残る。端末の復旧とアカウントの復旧は、時計の違う二つの仕事である。

二つの事件、二つの時計

端末側の作業はローカルで速い——作り直し、パッチを当て、データを戻す。アカウント側の作業は遠隔で遅く、事業者が何を公開しているか、復旧経路をまだ自分で握っているかによる。速い作業を先にやると生産的に感じるが、実際の露出は元の場所にそのまま残る。

アカウント側の作業が終わるまで、ノートパソコンは信頼できないものとして扱う。それでアカウントを復旧するのは、すでにキーロガーが入っているかもしれない端末を使うことだ。

順番を決める三つの条件

何かに触れる前にこれを洗い出すべきだ、復旧が十五分で済むのかサポートへのエスカレーションになるのかを左右するからだ。

第一に、端末に何があったか、つまり入力したパスワード、秘密鍵付きのクライアント証明書、保存されたセッショントークン、あるいはそのすべて。第二に、事業者が自分で無効化させてくれる範囲で、端末とセッションの一覧を公開するサービスもあれば、パスワード欄しか用意しないサービスもある。第三に、復旧経路がまだ自分のものか、つまりアカウントに紐づくメールボックスと電話番号だ。第三が侵害されていれば、ほかはすべて待つしかない。

答えを書き留める。何がコピーされたか言えない事件は、閉じられない事件だ。

再生できるものは交換する

再生できるものは、新しい端末で変えるだけでなく交換しなければならない。パスワード、端末証明書、エクスポート済みプロファイルはすべて対象だ。NIST の認証器ライフサイクル指針は、侵害された認証器を速やかに無効化し、別の認証器を紐づける際に独立した通知を求めることを記しており、消費者向け VPN が公開する制御が少なくても、仕事の形としてはこれが正しい。

次にセッションを終了する。パスワード変更では既存トークンが確実には無効にならず、別の端末に入っている VPN プロファイルは認証情報が無効化されるまで動き続ける。期待ではなく、サービスが文書化している内容を確認しよう。

侵害を持ち込まずに作り直す

再インストールは簡単な部分で、ここで人は自分の作業を台無しにする。完全バックアップを戻すと、同じ保存プロファイル、同じブラウザセッション、同じ認証情報ストアが戻ってくる。復元が実際に何を取り込むか確認し、新しく発行した素材で、対応する手順を通じて端末を登録し直す。

サービスが許すなら、端末は個別に外せる状態にしておく。端末ごとに一つのプロファイルにしておくことが、将来の事件を全艦隊の大騒ぎではなく一回の無効化に変える。

事件が終わったときを決める

三つが成り立ったら終わりだ。正当なアクセスが作り直した端末から通る。露出した ID が、実際に見える制御で引退させられている。そして残った復旧手段、メールボックス、電話番号、バックアップコードが自分のものになっている。接続できるきれいなインストールでは、最初の一つしか満たさない。

予期しない認証器や復旧用の連絡先を確認も削除もできないなら、検証済みのサポート手順でエスカレーションする。ローカルでの再インストールは、他人が握る復旧手段を決して直さない。