Menggantikan Kunci VPN yang Bocor: Apa yang Perlu Dilakukan Pelayan

Sebuah komputer riba yang membawa kunci klien telah hilang, dan tindakan pertama biasanya memadam salinan setempat. Itu tidak mengubah apa-apa pada pelayan, yang masih memegang kebenaran yang akan menerima kunci itu sehingga seseorang mengeluarkannya. Penggantian ialah dua operasi, dan hanya operasi kedua yang menyentuh kelayakan lama.

Salinan setempat bukan kuasa

Kelayakan VPN diterima kerana konfigurasi sebelah pelayan menyatakannya. Bagi sijil, itu bermaksud sijil berantai kepada pengeluar yang dipercayai dan tidak muncul dalam senarai pembatalan yang diperiksa gerbang. Bagi WireGuard, itu bermaksud kunci awam rakan muncul dalam konfigurasi antara muka. Memadam fail pada klien mengeluarkan satu salinan rahsia dan membiarkan peraturan penerimaan tidak tersentuh.

Itulah sebab kunci yang dicuri terus berfungsi selepas pembersihan yang jelas, dan sebab insiden itu terasa belum selesai walaupun konfigurasi baharu sudah dipasang.

Mulakan dengan peraturan pelayan, kemudian bekerja ke luar menuju klien.

Sijil: pelayan memegang keputusan

Keluarkan penggantian melalui proses pengeluar itu sendiri supaya identiti baharu direkodkan, kemudian tarik balik yang lama dengan pembatalan bertandatangan. Gerbang mesti dikonfigurasikan untuk merujuk sumber pembatalan itu, dan ia mesti memuat semula sumber itu, jika tidak fail itu duduk di cakera sementara terowong terus menerima nombor siri lama. Sesi aktif juga boleh bertahan sehingga rundingan semula, jadi rancang sambungan semula.

Sahkan penggantian berfungsi untuk aplikasi yang dimaksudkan, kemudian sahkan melalui proses yang diluluskan bahawa sijil yang telah bersara tidak lagi mewujudkan akses.

Itu dua ujian berbeza dan kedua-duanya diperlukan. RFC 5280 mentakrifkan semantik sijil dan pembatalan yang dijadikan asas oleh gerbang.

WireGuard: kunci rakan ialah identiti

WireGuard tiada lapisan sijil: kunci awam rakan ialah identiti, dan entri allowed-ips pelayan ialah kebenaran. Mengeluarkan rakan lama daripada konfigurasi antara muka ialah pembatalan, dan ia terpakai serta-merta kepada jabat tangan baharu.

Sesi sedia ada berakhir apabila jabat tangan seterusnya gagal, yang biasanya berlaku dalam beberapa minit dan bukan serta-merta.

Edarkan konfigurasi baharu melalui saluran yang anda akan percayakan dengan kata laluan, kerana kunci peribadi ialah kelayakan itu. Simpan satu kunci bagi setiap peranti, supaya satu peranti yang hilang tidak memaksa setiap peranti berubah.

Apa lagi yang ada dalam berkas itu

Berkas klien sering membawa lebih daripada kunci peribadi: kunci TLS statik, nama pengguna dan kata laluan, rahsia yang dikongsi terlebih dahulu atau token peruntukan. Hadkan insiden kepada apa yang benar-benar terdedah dan putarkan perkara itu juga. Memutarkan sijil sambil membiarkan kunci statik yang dikongsi di tempatnya menutup satu pintu dan membiarkan pintu lain terbuka.

Jika berkas itu dikongsi merentas peranti, setiap peranti yang membawanya mewarisi pendedahan itu.

Catat apa yang diputarkan, kerana audit seterusnya akan bertanya.

Buktikan penolakan, kemudian rekod penggantian

Penggantian lengkap apabila dua fakta kekal: identiti baharu berfungsi untuk perkhidmatan yang dimaksudkan, dan identiti lama ditolak. Sahkan yang kedua dengan kelayakan yang telah bersara dari persekitaran ujian, atau dengan percubaan terkawal yang diluluskan organisasi, dan baca log gerbang untuk mengesahkan penolakan itu datang daripada dasar dan bukan daripada salah taip. Kemudian rekod pengecam lama, yang baharu dan masa perubahan, kerana ketiga-tiga nilai itu yang diperlukan juruaudit untuk membinanya semula. Tiada apa-apa lagi dalam tiket akan menjelaskan jurang itu.

Jauhkan kunci peribadi daripada tiket dan sembang, dan keluarkan eksport usang daripada storan dan sandaran mengikut dasar.

Penggantian tanpa ujian penolakan ialah andaian, bukan pembaikan.