დაკარგული VPN მოწყობილობის გაუქმება: გასაღები, სერტიფიკატი თუ ანგარიში

თქვენი ლეპტოპი გაქრა, და VPN კვლავ კლიენტად ჩამოთვლის მას. გადაუდებელი კითხვა არ არის, როგორ წაშალოთ პროფილი მანქანაზე, რომელიც აღარ გაქვთ, არამედ რომელ იდენტობას იღებს სერვერი ჯერ კიდევ. WireGuard ამოწმებს საჯარო გასაღებს, PKI-ზე დაფუძნებული OpenVPN კონფიგურაცია ამოწმებს კლიენტის სერტიფიკატს, ხოლო SSO-იანი VPN ამოწმებს ანგარიშს და მის სესიის ტოკენს. ეს სამი სხვადასხვა ადგილას და სხვადასხვა სიჩქარით უქმდება, და ერთის გასწორება სხვების უგულებელყოფით სწორედ ის გზაა, რომლითაც დაკარგული მოწყობილობა დაკავშირებული რჩება.

სამი იდენტობა და რას აკონტროლებს თითოეული

თითოეული მექანიზმი სხვა კითხვას პასუხობს. პარტნიორის გასაღები პასუხობს, არის თუ არა ეს ის მანქანა, რომელიც დაარეგისტრირეთ. სერტიფიკატი პასუხობს, ხელი მოაწერა თუ არა მას თქვენმა CA-მ და არ გაუუქმებია. ანგარიში პასუხობს, ამ ადამიანმა საკმარისად ცოტა ხნის წინ გაიარა ავთენტიფიკაცია თუ არა. განლაგება, რომელიც ორ მათგანს აფენს ერთმანეთს, მაგალითად სერტიფიკატი პლუს კატალოგში შესვლა, კარს მაშინ ხურავს, როცა მოწყობილობას რაღაც რომ მისცა, ყველა იმ დონეს ეუბნებიან შეწყვიტოს მისი მიღება.

პრაქტიკული ხაფანგი ისაა, რომ დაკარგული მანქანა ინახავს თითოეული რწმუნებულების პირად ნახევარს, ამიტომ ლოკალურად რაც არ უნდა გააკეთოთ, სერვერამდე არ აღწევს.

WireGuard: წაშალეთ პარტნიორი, რადგან გაუქმების სია არ არსებობს

WireGuard არ ინახავს აკრძალვის სიას. ინტერფეისი იღებს ზუსტად იმ საჯარო გასაღებებს, რომლებიც პარტნიორებად არის კონფიგურირებული, ამიტომ გაუქმება წაშლაა: გაუშვით wg set wg0 peer <public-key> remove, ფორმა, რომელიც დოკუმენტირებულია wg(8)-ში, შემდეგ წაშალეთ შესაბამისი [Peer] ბლოკი wg0.conf-დან. გააკეთეთ ორივე. მხოლოდ მუშაობის დროს წაშლა გრძელდება შემდეგ გადატვირთვამდე ან კონფიგურაციის ხელახლა ჩატვირთვამდე, როცა ფაილი გასაღებს უკან აბრუნებს.

არსებულ სესიებს მოსაკლავად ტაიმერი არ სჭირდებათ. პარტნიორის წაშლა აგდებს მის ხელის ჩამორთმევას და გასაღების მასალას, ამიტომ ტრაფიკი ჩერდება მაშინვე, როცა კვლავ ვალიდური გასაღების წყვილი გახდება საჭირო. შეამოწმეთ wg show wg0 latest-handshakes სერვერზე: დაკარგული გასაღების ჩანაწერი უნდა გაქრეს და გაქრობილი დარჩეს, ხოლო სხვა პარტნიორები აგრძელებენ ბოლო ეპოქების შეტყობინებას.

ერთი გაფრთხილება უფრო მნიშვნელოვანია, ვიდრე ჩანს. თუ დაკარგული მოწყობილობა გასაღებს სხვა მოწყობილობებთან იზიარებდა იმიტომ, რომ ვიღაცამ ერთი კონფიგურაციის ფაილი დააკოპირა, ამ გასაღების წაშლა ყველა მათგანს წყვეტს; ეს მაინც სწორი ნაბიჯია, და შემდეგ გასაღებებს თითოეული მოწყობილობისთვის გასცემთ და არა საერთოს აღადგენთ.

სერტიფიკატები: CRL მხოლოდ მაშინ ითვლება, თუ დემონი კითხულობს მას

სერტიფიკატზე დაფუძნებული წვდომა ამატებს ნაბიჯს, რომელსაც ადამიანები გამოტოვებენ. easyrsa revoke laptop-01 CA-ის მონაცემთა ბაზაში სერტიფიკატს გაუქმებულად ნიშნავს, მაგრამ VPN ამ ბაზიდან არაფერს სწავლობს. შემდეგ ასრულებთ easyrsa gen-crl-ს crl.pem-ის ჩასაწერად, აკოპირებთ მას სერვერის crl-verify პარამეტრში მითითებულ ბილიკზე და ადასტურებთ, რომ მომუშავე დემონი ახალ ფაილს იყენებს. გაუქმება CRL-ის ხელახლა გენერირების და გავრცელების გარეშე უშედეგოა.

დროც მეორე ნახევარია. CRL-ს მიმართავენ, როცა კლიენტი უერთდება ან ხელახლა აწარმოებს მოლაპარაკებას, ამიტომ დამყარებულ გვირაბს შეუძლია გადაცემა გააგრძელოს მანამდე. თუ მოწყობილობა დაუყოვნებლივ უნდა მოწყდეს, დაასრულეთ ეს სესია ცხადად OpenVPN-ის მართვის ინტერფეისით და არ დაელოდოთ შემდეგ ხელის ჩამორთმევას. სერვისის ხელახლა ჩატვირთვა ან გადატვირთვა, იმის მიხედვით, თუ როგორ ტვირთავს განლაგება CRL-ს, ცვლილების ნაწილია და არა არჩევითი დანამატი.

ღირს შემოწმება სხვა მანქანიდან: წარმოადგინეთ გაუქმებული სერტიფიკატი და დაელოდეთ ხელის ჩამორთმევის წარუმატებლობას, ჩვეულებრივ VERIFY ERROR: depth=0, error=certificate revoked. თუ კავშირი მაინც წარმატებულია, კლიენტი თქვენ მიერ განახლებულისგან განსხვავებულ CRL-ს კითხულობს.

ანგარიშები და სესიები: გამორთვა იგივე არ არის, რაც გაძევება

კატალოგში ან SSO-ით შესვლები ავთენტიფიკაციის დროს მოწმდება. ანგარიშის გამორთვა ბლოკავს შემდეგ შესვლას, მაგრამ განახლების ტოკენი და დამყარებული გვირაბი შეიძლება განაგრძოს მუშაობა მათ ვადის გასვლამდე. გააუქმეთ ამ მომხმარებლის სესიები და ტოკენები, ან გაზარდეთ სესიის ვერსია, თუ იდენტობის მომწოდებელი ამას მხარს უჭერს. ასევე ამოიღეთ დაკარგული მოწყობილობა MFA-ს რეგისტრაციიდან, რადგან რეგისტრირებული ავთენტიფიკატორი თავისთავად წვდომის გზაა.

RADIUS-ზე დაფუძნებულ VPN-ებს შეუძლიათ გაგზავნონ გაწყვეტის შეტყობინება ან ავტორიზაციის ცვლილება აქტიური სესიის ჩამოსაგდებლად, მაგრამ ყველა ქსელური წვდომის სერვერი ამას არ იცავს. ეჭვის შემთხვევაში დაასრულეთ მომხმარებლის სესია სერვერის მხრიდან და ჟურნალებში დაადასტურეთ, რომ ძველი სესია დაიხურა.

მოქმედებების რიგი მომდევნო საათისთვის

დაიწყეთ ინვენტარიდან და არა კლიენტიდან: ჩამოთვალეთ მოწყობილობასთან დაკავშირებული ყველა იდენტობა, იქნება ეს პარტნიორის გასაღები, სერტიფიკატის სერიული ნომერი თუ ანგარიში. გააუქმეთ ყველა გამცემ სისტემაში იმ თანმიმდევრობით, რომლითაც კავშირი აგება, ანუ ჯერ ანგარიში, შემდეგ სერტიფიკატი, შემდეგ პარტნიორი. შემდეგ დაამტკიცეთ უარი თქვენს მიერ კონტროლირებადი მანქანიდან.

ორი შემდგომი ნაბიჯი ადვილად დასავიწყებელია. პირველი, შეცვალეთ ყველაფერი, რაც მოწყობილობას ჰქონდა, განსაკუთრებით SSH გასაღებები, ღრუბლის კონსოლის რწმუნებულებები და WireGuard-ის წინასწარ გაზიარებული გასაღები. მეორე, შეამოწმეთ, რომ კონფიგურაციის მართვას, სნეპშოტებს ან ოქროს იმიჯებს არ შეუძლიათ წაშლილი კლიენტის დაბრუნება შემდეგ გადაშენებაზე.

გამძლე გადაწყვეტაა ერთი იდენტობა თითო მოწყობილობაზე. როცა თითოეული ლეპტოპი ატარებს საკუთარ პარტნიორის გასაღებს ან სერტიფიკატს, დაკარგვა ღირს ერთი გაუქმების ბრძანება და ხელახალი გაცემა, და არა მთელი ფლოტის ხელახალი აშენება.