Nutekėjęs VPN prisijungimas: ką jis atrakina, o ko ne

Kai VPN slaptažodis pasirodo įklijavimo svetainėje, naudingas pirmasis klausimas yra tai, ką ta paskyra buvo įgaliota patvirtinti, o ne tai, kokia stipri buvo šifruotė. Tai dvi atskiros problemos su atskirais įrodymais, ir jų maišymas kartu sukelia ir paniką, ir klaidingą saugumą. Slaptažodis gali atidaryti tunelį, užregistruoti įrenginį ar atrakinti portalą, o raktai, saugantys srautą sesijos metu, išvedami kitur ir niekada neišduodami su prisijungimu. Užsirašykite, kas nutekėjo, prieš nuspręsdami, kurią iš dviejų problemų turite.

Užsirašykite, kas iš tikrųjų buvo atskleista

Keturi skirtingi incidentai pranešami kaip vienas. Slaptažodis, įvestas sukčiavimo puslapyje, įrenginio raktas, nukopijuotas iš failų sistemos, bendra tunelio paslaptis, paskelbta konfigūracijos pakete, ir veikiantis galinis taškas, kurio atmintis buvo užfiksuota, yra keturi atskiri atskleidimai. Kiekvienas pagrindžia skirtingą atsakymą apie tai, kas bus toliau, o ribojimo veiksmai iš karto išsiskiria.

Prašykite artefakto, o ne aprašymo: failo pavadinimo, konfigūracijos eilutės, ekrano nuotraukos su antrašte arba tikslaus sakinio ataskaitoje. Smulkmenos prastėja kiekvieną kartą, kai incidentas perpasakojamas.

Surenkite paskyros turimų įgaliojimų sąrašą

Paimkite paskyrą ir išvardykite, ką leidžia prieiga prie jos. Paskirties vietos, protokolai ir prievadai yra pirmi, tada operacijos, kurias leidžia šios paskirties vietos, tada atskiros tapatybės, vis dar stovinčios tarp tunelio ir duomenų. Failų serveris, reikalaujantis savo autentifikacijos, neatsidaro tunelio prieiga, ir tai yra tikrinamas faktas, o ne priežastis atsipalaiduoti. Tie patys žodžiai, VPN prisijungimo duomenys, gali apibūdinti asmeninę interneto išėjimą ir darbuotojo paskyrą, pasiekiančią dokumentų sistemą, todėl sąrašas sudaromas kiekvienai paskyrai.

Tada išvardykite kitus paskyros paviršius. Kai ta pati tapatybė prisijungia prie paslaugų portalo, išsiaiškinkite, ką portalas leidžia: skaityti paskyros duomenis, atsisiųsti profilius, registruoti kitą įrenginį ar keisti prieigą. Nemanote, kad šios funkcijos egzistuoja, ir nemanote, kad jų nėra; skaitykite įdiegtą konfigūraciją ir dokumentuotą produkto elgesį.

Užbaikite sesiją, o ne tik slaptažodį

Slaptažodžio keitimas ir visų įgaliojimų nutraukimas daugumoje platformų yra skirtingi veiksmai, ir būtent tarp jų įsibrovėlis toliau dirba. Nustatykite sertifikatą ar įrenginio prisijungimo duomenis, esančius už sesijos, panaikinkite juos ir patvirtinkite, kad serveris iš tikrųjų tikrina panaikinimo duomenis.

Su Easy-RSA stiliaus CA seka trumpa, o paskutinis žingsnis yra tas, kuris praleidžiamas.

openssl x509 -in vpn-client.crt -noout -serial -subject -dates
./easyrsa revoke vpn-client
./easyrsa gen-crl

Serveris turi įkelti tą sąrašą per savo panaikinimo parinktį, kad pakeitimas ką nors reikštų, o jau nustatyta sesija gali išlikti iki perderybų. Nutraukite ją aiškiai, jei produktas siūlo tokią kontrolę, ir užrašykite, ką nutraukėte, kada ir kuriai tapatybei.

Srauto raktai yra atskiras tyrimas

TLS 1.3 išveda įrašų apsaugos raktus iš rankos paspaudimo paslapčių, o esant efemeriškam raktų apsikeitimui tos paslaptys egzistuoja tik tai sesijai ir negali būti atkurtos iš ilgalaikio serverio privataus rakto. TLS specifikacija įrašų apsaugą traktuoja kaip kriptografinį mechanizmą, o ne kaip paskyros slaptažodžio konfidencialumo pasekmę. Todėl pavogtas prisijungimas nėra įrodymas, kad anksčiau užfiksuoti paketai tapo skaitomi, ir tai nėra priešingos garantija, nes protokolo versija, rankos paspaudimo būdas ir faktiškai atskleista medžiaga lemia atsakymą.

Paketas, kuriame yra privatus raktas arba statinė bendra paslaptis, perkelia bylą į kitą kategoriją. Taip pat elgiasi kompromituotas galinis taškas, kuriame gali būti skaitomi programos duomenys ir gyvų sesijų medžiaga, nesvarbu, kaip kruopščiai pats tunelis buvo užšifruotas.

Ribokite pagal medžiagą, tada patikrinkite, kas įvyko

Kai atskleistas tik slaptažodis, darbas yra prisijungimo duomenų rotacija, sesijų nutraukimas, portalo peržiūra ir to paties slaptažodžio patikra kitose sistemose. Kai atskleista raktinė medžiaga, tai taip pat apima rakto pakeitimą, sertifikatų perleidimą ir visko, ką tas raktas saugojo, peržiūrą, o tai yra daug ilgesnis sąrašas.

Tada nustatykite įrodymų ribą, prieš rotacijai perrašant pėdsaką. Tunelio žurnalo įrašas įrodo prieigą, programos žurnalo įrašas įrodo prisijungimą prie programos, ir nė vienas neįrodo kito.

journalctl -u openvpn-server@server --since "2026-11-01" --no-pager

Laikykite pačius prisijungimo duomenis už incidento ataskaitos ribų. Ataskaitai reikia paskyros, laikotarpio ir įrodymų kelio, o ne paslapties, kuri pradėjo tyrimą.