Noplūduša VPN atslēgas nomaiņa: kas serverim jādara

Pazuda klēpjdators ar klienta atslēgu, un pirmais solis parasti ir vietējās kopijas dzēšana. Tas serverī neko nemaina, jo tam joprojām ir atļauja, kas pieņems šo atslēgu, līdz kāds to noņems. Nomaiņa ir divas operācijas, un tikai otrā attiecas uz vecajiem akreditācijas datiem.

Vietējā kopija nav vara

VPN akreditācijas dati tiek pieņemti tāpēc, ka servera puses konfigurācija tā nosaka. Sertifikātu gadījumā tas nozīmē, ka sertifikāts tiek piesaistīts uzticamam izdevējam un neparādās atsaukšanas sarakstā, ko pārbauda vārteja. WireGuard gadījumā tas nozīmē, ka vienaudža publiskā atslēga ir saskarnes konfigurācijā. Faila dzēšana klientā noņem vienu noslēpuma kopiju un atstāj pieņemšanas noteikumu neskartu.

Tāpēc nozagta atslēga turpina darboties arī pēc acīmredzamās tīrīšanas, un tāpēc incidents šķiet neatrisināts pat pēc jaunās konfigurācijas instalēšanas.

Sāciet ar servera noteikumu, pēc tam strādājiet uz āru līdz klientam.

Sertifikāti: lēmums ir serverim

Izsniedziet nomaiņu caur paša izdevēja procesu, lai jaunā identitāte tiktu reģistrēta, pēc tam atsauciet veco ar parakstītu atsaukumu. Vārtejai jābūt konfigurētai pārbaudīt šo atsaukšanas avotu, un tai tas ir jāpārlādē, citādi fails paliek diskā, bet tunelis turpina pieņemt veco sērijas numuru. Aktīvās sesijas var arī pārdzīvot līdz pārrunām, tāpēc plānojiet atkārtotu savienojumu.

Pārliecinieties, ka nomaiņa darbojas paredzētajai lietojumprogrammai, pēc tam apstiprinātā procesā pārliecinieties, ka izbeigtais sertifikāts vairs nenodrošina piekļuvi.

Tie ir divi dažādi testi, un abi ir nepieciešami. RFC 5280 definē sertifikātu un atsaukšanas semantiku, uz kuru paļaujas vārteja.

WireGuard: vienaudža atslēga ir identitāte

WireGuard nav sertifikātu slāņa: vienaudža publiskā atslēga ir identitāte, un servera allowed-ips ieraksts ir atļauja. Vecā vienaudža noņemšana no saskarnes konfigurācijas ir atsaukums, un tas nekavējoties attiecas uz jaunām rokasspiedieniem.

Esošās sesijas beidzas, kad neizdodas nākamā rokasspiediens, kas parasti notiek dažu minūšu laikā, nevis acumirklī.

Izplatiet jauno konfigurāciju kanālā, kuram uzticētu paroli, jo privātā atslēga ir akreditācijas dati. Turiet vienu atslēgu vienai ierīcei, lai viena pazaudēta ierīce neuzspiestu mainīt visas ierīces.

Kas vēl bija šajā pakotnē

Klienta pakotne bieži satur vairāk nekā privāto atslēgu: statisku TLS atslēgu, lietotājvārdu un paroli, iepriekš koplietotu noslēpumu vai nodrošināšanas marķieri. Ierobežojiet incidentu ar to, kas patiešām tika atklāts, un rotējiet arī šos elementus. Sertifikāta rotēšana, atstājot koplietotu statisku atslēgu, aizver vienas durvis un atstāj citas atvērtas.

Ja pakotne tika koplietota starp ierīcēm, katra ierīce, kas to nēsā, manto atklāšanu.

Pierakstiet, kas tika rotēts, jo nākamais audits to prasīs.

Pierādiet noraidījumu, pēc tam reģistrējiet nomaiņu

Nomaiņa ir pabeigta, kad pastāv divi fakti: jaunā identitāte darbojas paredzētajam pakalpojumam, un vecā tiek noraidīta. Otro pārbaudiet ar izbeigtajiem akreditācijas datiem testa vidē vai ar organizācijas apstiprinātu kontrolētu mēģinājumu, un lasiet vārtejas žurnālus, lai apstiprinātu, ka noraidījums nāca no politikas, nevis no drukas kļūdas. Pēc tam reģistrējiet veco identifikatoru, jauno un izmaiņas laiku, jo šīs trīs vērtības ir tas, kas auditoram nepieciešams, lai to rekonstruētu. Nekas cits biļetē neizskaidros šo plaisu.

Turiet privātās atslēgas ārpus biļetēm un tērzēšanas, un saskaņā ar politiku noņemiet novecojušus eksportus no krātuves un dublējumkopijām.

Nomaiņa bez noraidījuma testa ir pieņēmums, nevis labojums.