Eng ageleechte VPN-Schlëssel ersetzen: wat de Server maache muss

E Laptop mat engem Client-Schlëssel ass verluer gaang, an den éischte Schrëtt ass meeschtens déi lokal Kopie ze läschen. Dat ännert näischt um Server, deen nach ëmmer eng Autorisatioun huet, déi dee Schlëssel akzeptéiert bis een en ewechhëlt. Ersetzen sinn zwou Operatiounen, an nëmmen déi zweet betrëfft déi al Umeldung.

D'lokal Kopie ass net d'Autoritéit

Eng VPN-Umeldung gëtt akzeptéiert well d'Konfiguratioun op der Serversäit dat seet. Bei Zertifikater heescht dat, datt den Zertifikat un e vertraute Aussteller gebonnen ass an net op enger Widderrufflëscht steet, déi de Gateway consultéiert. Bei WireGuard heescht et, datt dee ëffentleche Schlëssel vum Peer an der Interface-Konfiguratioun steet. Eng Datei op engem Client läschen hëlt eng Kopie vun engem Geheimnis ewech an léisst d'Akzeptanzreegel onberéiert.

Dofir funktionéiert e geklaute Schlëssel nach der offensichtlecher Botz weider, an dofir fillt sech den Tëschefall ongeléist un, och wann déi nei Konfiguratioun installéiert ass.

Fänk mat der Regel vum Server un, a schaff dann no baussen zum Client.

Zertifikater: de Server huet d'Entscheedung

Gëff den Ersatz iwwer den eegene Prozess vum Aussteller aus, sou datt déi nei Identitéit festgehale gëtt, an zéi dann déi al mat engem ënnerschriwwenen Widderruff zeréck. De Gateway muss konfiguréiert sinn, datt en déi Widderruffquell consultéiert, an en muss se nei lueden, soss läit d'Datei op der Plack wärend den Tunnel nach ëmmer déi al Seriennummer akzeptéiert. Aktiv Sessiounen kënnen och bis zur Neiverhandlung iwwerliewen, also plang eng Reconnectioun.

Confirméier datt den Ersatz fir déi virgesinn Applikatioun funktionéiert, a confirméier duerno iwwer e genehmegte Prozess, datt den ausgemusterten Zertifikat keen Zougang méi opbaut.

Dat sinn zwou verschidde Prüfungen an béid sinn néideg. RFC 5280 definéiert d'Zertifikats- a Widderruffsemantik op déi de Gateway sech stäipt.

WireGuard: dee Peer-Schlëssel ass d'Identitéit

WireGuard huet keng Zertifikatsschicht: dee ëffentleche Schlëssel vum Peer ass d'Identitéit, an den allowed-ips-Agang um Server ass d'Autorisatioun. Deen ale Peer aus der Interface-Konfiguratioun eraushuelen ass de Widderruff, an en gëllt direkt fir nei Handshakes.

Bestehend Sessiounen enden, wann den nächsten Handshake feelt, wat meeschtens bannent e puer Minutten ass an net direkt.

Verdeel déi nei Konfiguratioun iwwer ee Kanal, deem s de en Passwuert uvertraue géifs, well de private Schlëssel d'Umeldung ass. Halt ee Schlëssel pro Apparat, sou datt een eenzegen verluerenen Apparat net all Apparat zum Wiesselen zwingt.

Wat nach an deem Bündel war

E Clientbündel dréit dacks méi wéi de private Schlëssel: ee statesche TLS-Schlëssel, e Benotzernumm a Passwuert, e virgedeelte Geheimnis oder en Provisioningstoken. Begrenz den Tëschefall op dat wat wierklech offegeluecht war a rotéier och déi Elementer. Den Zertifikat rotéieren an dobäi ee gedeelten statesche Schlëssel stoen ze loossen, schléisst eng Dier a léisst eng aner op.

Wann de Bündel iwwer Apparater gedeelt war, ierft all Apparat deen en dréit déi Offeluecht.

Schreif op wat rotéiert gouf, well déi nächst Audit wäert froen.

Beweis d'Refusatioun, da notéier den Ersatz

Den Ersatz ass fäerdeg wann zwou Tatsaachen halen: déi nei Identitéit funktionéiert fir de virgesinne Service, an déi al gëtt refuséiert. Verifiéier déi zweet mat der ausgemusterter Umeldung aus enger Testëmgebung, oder mat engem kontrolléierten Versuch deen d'Organisatioun genehmegt, a liest d'Gateway-Loggen, fir ze confirméieren datt d'Refusatioun aus der Politik kënnt an net aus engem Tippfehler. Duerno notéier déi al Identifizéierung, déi nei an den Zäitpunkt vun der Ännerung, well déi dräi Wäerter sinn dat en Auditor brauch fir et ze rekonstruéieren. Naischt anescht am Ticket wäert d'Lück erklären.

Halt privat Schlësselen aus Ticketen a Chat eraus, a läsch veralt Exporten aus Späicher a Backuppen no der Politik.

En Ersatz ouni Refusatiounstest ass eng Unhuel an net eng Reparatur.