Алдагдсан VPN түлхүүрийг солих: сервер юу хийх ёстой

Клиент түлхүүртэй зөөврийн компьютер алдагдсан бөгөөд эхний алхам нь ихэвчлэн локал хуулбарыг устгах байдаг. Энэ нь сервер дээр юу ч өөрчлөхгүй; сервер тэр түлхүүрийг хүлээн авах зөвшөөрлийг хэн нэгэн арилгах хүртэл хадгалсаар байна. Солих нь хоёр үйлдэл бөгөөд зөвхөн хоёр дахь нь хуучин итгэмжлэлд хамаатай.

Локал хуулбар нь эрх мэдэл биш

VPN итгэмжлэлийг хүлээн авдаг шалтгаан нь серверийн талын тохиргоо тэгж заасан. Гэрчилгээний хувьд энэ нь гэрчилгээ нь итгэмжлэгдсэн олгогчтой холбогдож, гарцын шалгадаг хүчингүй болгох жагсаалтад ороогүй гэсэн үг. WireGuard-ийн хувьд энэ нь хэрэглэгчийн нийтийн түлхүүр интерфэйсийн тохиргоонд байгаа гэсэн үг. Клиент дээр файл устгах нь нууцын нэг хуулбарыг арилгаж, хүлээн авах дүрмийг хөндөхгүй үлдээнэ.

Тиймээс хулгайлагдсан түлхүүр ил тод цэвэрлэгээний дараа ч ажилласаар байдаг, тиймээс шинэ тохиргоо суулгасан ч хэрэг явдал шийдэгдээгүй мэт санагддаг.

Серверийн дүрмээс эхэлж, дараа нь клиент рүү гадагш ажилла.

Гэрчилгээ: шийдвэр серверт байна

Шинэ таних тэмдэг бүртгэгдэхийн тулд олгогчийн өөрийн үйл явцаар солилтыг олгож, дараа нь гарын үсэгтэй хүчингүй болголтоор хуучныг буцааж ав. Гарц нь тэр хүчингүй болгох эх сурвалжийг шалгахаар тохируулагдсан байх ёстой бөгөөд түүнийг дахин ачаалах ёстой, эс тэгвээс файл дискэн дээр хэвтэж, туннель хуучин серийн дугаарыг хүлээн авсаар байна. Идэвхтэй сессүүд дахин хэлэлцээр хүртэл амьд үлдэж болох тул дахин холбогдохыг төлөвлө.

Солилт нь зориулалтын програмын хувьд ажиллаж байгааг баталж, дараа нь зөвшөөрөгдсөн үйл явцаар тэтгэвэрт гарсан гэрчилгээ цаашид нэвтрэх эрх тогтоохгүйг батал.

Эдгээр нь хоёр өөр туршилт бөгөөд хоёулаа шаардлагатай. RFC 5280 нь гарцын тулгуурладаг гэрчилгээ болон хүчингүй болголтын утга санааг тодорхойлдог.

WireGuard: хэрэглэгчийн түлхүүр бол таних тэмдэг

WireGuard-д гэрчилгээний давхарга байхгүй: хэрэглэгчийн нийтийн түлхүүр нь таних тэмдэг, серверийн allowed-ips бичлэг нь зөвшөөрөл. Хуучин хэрэглэгчийг интерфэйсийн тохиргооноос хасах нь хүчингүй болголт бөгөөд шинэ гар барилтуудад тэр даруй үйлчилнэ.

Одоо байгаа сессүүд дараагийн гар барилт бүтэлгүйтэхэд дуусдаг бөгөөд энэ нь ихэвчлэн шууд биш, хэдэн минутын дотор болдог.

Шинэ тохиргоог нууц үгийг итгэж болох сувгаар тараа, учир нь хувийн түлхүүр нь итгэмжлэл. Нэг төхөөрөмжид нэг түлхүүр бари, ингэснээр нэг алдагдсан төхөөрөмж бүх төхөөрөмжийг солихыг шаардахгүй.

Тэр багцад өөр юу байсан

Клиент багц нь ихэвчлэн хувийн түлхүүрээс илүүг агуулдаг: статик TLS түлхүүр, хэрэглэгчийн нэр, нууц үг, урьдчилан хуваалцсан нууц эсвэл бэлтгэлийн токен. Хэрэг явдлыг үнэхээр илэрсэн зүйлээр хязгаарлаж, тэдгээр зүйлийг ч эргүүл. Гэрчилгээг эргүүлэхийн зэрэгцээ хуваалцсан статик түлхүүрийг үлдээх нь нэг хаалгыг хааж, нөгөөг нээлттэй үлдээнэ.

Хэрэв багцыг төхөөрөмжүүдийн хооронд хуваалцсан бол түүнийг авч яваа төхөөрөмж бүр илрэлийг өвлөнө.

Юу эргүүлснээ бичиж үлдээ, учир нь дараагийн аудит асуух болно.

Татгалзлыг нотолж, дараа нь солилтыг бүртгэ

Солилт нь хоёр баримт биелэхэд дуусна: шинэ таних тэмдэг зориулалтын үйлчилгээнд ажилладаг, хуучин нь татгалзагдана. Хоёр дахьыг тэтгэвэрт гарсан итгэмжлэлээр туршилтын орчноос шалга, эсвэл байгууллагын зөвшөөрсөн хяналттай оролдлогоор, гарцын логийг уншиж татгалзал нь бодлогоос ирсэн, бичгийн алдаанаас биш гэдгийг батал. Дараа нь хуучин танигч, шинийг болон өөрчлөлтийн цагийг бүртгэ, учир нь аудитор түүнийг дахин бүтээхэд яг энэ гурван утга хэрэгтэй. Тасалбар дахь өөр юу ч энэ зөрүүг тайлбарлахгүй.

Хувийн түлхүүрүүдийг тасалбар болон чатаас гадуур бари, бодлогын дагуу хадгалалт болон нөөц хуулбараас хуучирсан экспортыг устга.

Татгалзлын туршилтгүй солилт бол таамаг, засвар биш.