Замена на протечен VPN клуч: што треба да направи серверот

Изгубен е преносен сметач со клиентски клуч, а првиот чекор обично е бришење на локалната копија. Тоа не менува ништо на серверот, кој сѐ уште држи авторизација што ќе го прифати тој клуч додека некој не ја отстрани. Замената е две операции, а само втората се однесува на старите акредитиви.

Локалната копија не е власта

VPN акредитивот се прифаќа затоа што конфигурацијата на страната на серверот така вели. Кај сертификатите тоа значи дека сертификатот се врзува за доверлив издавач и не се појавува на списокот за отповикување што го проверува портата. Кај WireGuard тоа значи дека јавниот клуч на партнерот се појавува во конфигурацијата на интерфејсот. Бришењето датотека на клиент отстранува една копија од тајната и го остава правилото за прифаќање недопрено.

Затоа украдениот клуч продолжува да работи по очигледното чистење, и затоа инцидентот изгледа нерешен дури и кога новата конфигурација е инсталирана.

Започнете од правилото на серверот, потоа работете нанадвор кон клиентот.

Сертификати: одлуката е кај серверот

Издајте ја замената преку сопствениот процес на издавачот за да се запише новиот идентитет, потоа повлечете го стариот со потпишано отповикување. Портата мора да биде конфигурирана да го проверува тој извор на отповикување и мора повторно да го вчита, инаку датотеката стои на дискот додека тунелот продолжува да го прифаќа стариот сериски број. Активните сесии можат да преживеат до повторното преговарање, затоа планирајте повторно поврзување.

Потврдете дека замената работи за предвидената апликација, потоа преку одобрен процес потврдете дека повлечениот сертификат веќе не воспоставува пристап.

Тоа се два различни теста и двата се потребни. RFC 5280 ја дефинира семантиката на сертификатот и отповикувањето на која се потпира портата.

WireGuard: клучот на партнерот е идентитетот

WireGuard нема слој на сертификати: јавниот клуч на партнерот е идентитетот, а записот allowed-ips на серверот е авторизацијата. Отстранувањето на стариот партнер од конфигурацијата на интерфејсот е отповикувањето, и тоа веднаш се применува на новите ракувања.

Постоечките сесии завршуваат кога следното ракување не успее, што обично е во рок од неколку минути, а не веднаш.

Дистрибуирајте ја новата конфигурација преку канал на кој би му довериле лозинка, бидејќи приватниот клуч е акредитивот. Држете еден клуч по уред, за да не мора еден изгубен уред да ги смени сите уреди.

Што друго имаше во тој пакет

Клиентскиот пакет често носи повеќе од приватниот клуч: статичен TLS клуч, корисничко име и лозинка, однапред споделена тајна или токен за обезбедување. Ограничете го инцидентот на она што навистина било изложено и ротирајте ги и тие ставки. Ротирање на сертификатот додека останува споделен статичен клуч затвора една врата и остава друга отворена.

Ако пакетот бил споделен меѓу уреди, секој уред што го носи го наследува изложувањето.

Запишете што е ротирано, зашто следниот одит ќе праша.

Докажете го одбивањето, потоа запишете ја замената

Замената е завршена кога стојат два факти: новиот идентитет работи за предвидената услуга, а стариот се одбива. Вториот проверете го со повлечениот акредитив од тест-околина, или со контролиран обид што организацијата го одобрува, и прочитајте ги дневниците на портата за да потврдите дека одбивањето дошло од политика, а не од печатна грешка. Потоа запишете го стариот идентификатор, новиот и времето на промената, зашто тие три вредности се она што му е потребно на ревизорот за да го реконструира. Ништо друго во тикетот нема да го објасни тој јаз.

Држете ги приватните клучеви надвор од тикети и разговори, и согласно политиката отстранете ги застарените извози од складиштето и резервните копии.

Замена без тест за одбивање е претпоставка, а не поправка.