გაჟონილი VPN გასაღების შეცვლა: რა უნდა გააკეთოს სერვერმა
ფაილის წაშლა სერვერზე არაფერს ცვლის. შეცვლა ნიშნავს ახალ იდენტობას, რომელიც მუშაობს, და ძველს, რომელსაც კარიბჭე ნამდვილად უარყოფს, სწორედ ამ თანმიმდევრობით.
კლიენტის გასაღების მატარებელი ლეპტოპი დაიკარგა, და პირველი ნაბიჯი ჩვეულებრივ ლოკალური ასლის წაშლაა. ეს სერვერზე არაფერს ცვლის, რომელსაც ჯერ კიდევ აქვს ავტორიზაცია, რომელიც მიიღებს ამ გასაღებს, სანამ ვინმე არ მოხსნის მას. შეცვლა ორი ოპერაციაა, და მხოლოდ მეორე ეხება ძველ კრედენციალს.
ლოკალური ასლი ხელისუფლება არ არის
VPN კრედენციალი მიიღება იმიტომ, რომ სერვერის მხარის კონფიგურაცია ასე ამბობს. სერტიფიკატების შემთხვევაში ეს ნიშნავს, რომ სერტიფიკატი მიბმულია სანდო გამომცემელზე და არ ჩანს გაუქმების იმ სიაში, რომელსაც კარიბჭე ამოწმებს. WireGuard-ის შემთხვევაში ეს ნიშნავს, რომ პირის საჯარო გასაღები ინტერფეისის კონფიგურაციაში ჩანს. კლიენტზე ფაილის წაშლა შლის საიდუმლოს ერთ ასლს და მიღების წესს ხელუხლებლად ტოვებს.
ამიტომ მოპარული გასაღები აშკარა გასუფთავების შემდეგაც აგრძელებს მუშაობას, და ამიტომ ინციდენტი გადაუჭრელად გვეჩვენება მაშინაც, როცა ახალი კონფიგურაცია უკვე დაყენებულია.
დაიწყეთ სერვერის წესით, შემდეგ იმუშავეთ გარეთკენ კლიენტისკენ.
სერტიფიკატები: გადაწყვეტილება სერვერთანაა
გამოსცადეთ შეცვლა თავად გამომცემლის პროცესით, რათა ახალი იდენტობა დაფიქსირდეს, შემდეგ გააუქმეთ ძველი ხელმოწერილი გაუქმებით. კარიბჭე უნდა იყოს კონფიგურირებული, რომ ამოწმებდეს გაუქმების ამ წყაროს, და მან ხელახლა უნდა ჩატვირთოს ის, თორემ ფაილი დისკზე რჩება, სანამ გვირაბი ძველ სერიულ ნომერს აგრძელებს მიღებას. აქტიური სესიები შეიძლება გადარჩეს ხელახალ მოლაპარაკებამდე, ამიტომ დაგეგმეთ ხელახალი დაკავშირება.
დაადასტურეთ, რომ შეცვლა მუშაობს განკუთვნილი აპლიკაციისთვის, შემდეგ დამტკიცებული პროცესით დაადასტურეთ, რომ პენსიაზე გასული სერტიფიკატი აღარ ამყარებს წვდომას.
ეს ორი განსხვავებული ტესტია და ორივე აუცილებელია. RFC 5280 განსაზღვრავს სერტიფიკატისა და გაუქმების იმ სემანტიკას, რომელსაც კარიბჭე ეყრდნობა.
WireGuard: პირის გასაღები იდენტობაა
WireGuard-ს არ აქვს სერტიფიკატის ფენა: პირის საჯარო გასაღები იდენტობაა, ხოლო სერვერის allowed-ips ჩანაწერი ავტორიზაციაა. ძველი პირის ინტერფეისის კონფიგურაციიდან მოცილება თავად გაუქმებაა, და ის დაუყოვნებლივ ვრცელდება ახალ ხელის ჩამორთმევებზე.
არსებული სესიები მთავრდება მაშინ, როცა შემდეგი ხელის ჩამორთმევა ვერ ხერხდება, რაც ჩვეულებრივ რამდენიმე წუთში ხდება და არა მყისიერად.
გაავრცელეთ ახალი კონფიგურაცია არხით, რომელსაც პაროლს მიანდობდით, რადგან პირადი გასაღები კრედენციალია. შეინახეთ ერთი გასაღები თითო მოწყობილობაზე, რათა ერთი დაკარგული მოწყობილობა ყველა მოწყობილობის შეცვლას არ აიძულებდეს.
კიდევ რა იყო ამ პაკეტში
კლიენტის პაკეტი ხშირად პირად გასაღებზე მეტს ატარებს: სტატიკურ TLS გასაღებს, მომხმარებლის სახელსა და პაროლს, წინასწარ გაზიარებულ საიდუმლოს ან მიწოდების ტოკენს. შეზღუდეთ ინციდენტი იმით, რაც ნამდვილად გამოვლინდა, და ეს ელემენტებიც მოატრიალეთ. სერტიფიკატის მოტრიალება, სანამ გაზიარებული სტატიკური გასაღები ადგილზე რჩება, ერთ კარს ხურავს და მეორეს ღიად ტოვებს.
თუ პაკეტი მოწყობილობებს შორის იყო გაზიარებული, მისი მატარებელი ყოველი მოწყობილობა იმკვიდრებს გამოვლენას.
ჩამოწერეთ, რა მოტრიალდა, რადგან შემდეგი აუდიტი იკითხავს.
დაამტკიცეთ უარი, შემდეგ ჩაწერეთ შეცვლა
შეცვლა დასრულებულია, როცა ორი ფაქტი დგას: ახალი იდენტობა მუშაობს განკუთვნილი სერვისისთვის, და ძველი უარყოფილია. მეორე გადაამოწმეთ პენსიაზე გასული კრედენციალით სატესტო გარემოდან, ან ორგანიზაციის მიერ დამტკიცებული კონტროლირებული მცდელობით, და წაიკითხეთ კარიბჭის ჟურნალები, რომ დაადასტუროთ: უარი პოლიტიკიდან მოვიდა და არა ბეჭდვის შეცდომიდან. შემდეგ ჩაწერეთ ძველი იდენტიფიკატორი, ახალი და ცვლილების დრო, რადგან სწორედ ეს სამი მნიშვნელობა სჭირდება აუდიტორს მისი ხელახლა ასაგებად. ბილეთში სხვა არაფერი ახსნის ამ ღრიჭოს.
შეინახეთ პირადი გასაღებები ბილეთებისა და ჩატის მიღმა, და პოლიტიკის შესაბამისად წაშალეთ მოძველებული ექსპორტები საცავიდან და სარეზერვო ასლებიდან.
უარის ტესტის გარეშე შეცვლა ვარაუდია და არა შესწორება.