Ibdel ċavetta VPN li nixxet: x'għandu jagħmel is-server

Laptop li kien fih ċavetta tal-klijent intilef, u l-ewwel pass normalment huwa li tħassar il-kopja lokali. Dan ma jbiddel xejn fis-server, li għad għandu awtorizzazzjoni li se taċċetta dik iċ-ċavetta sakemm xi ħadd ineħħiha. Is-sostituzzjoni hija żewġ operazzjonijiet, u t-tieni waħda biss tikkonċerna l-kredenzjali l-qadima.

Il-kopja lokali mhix l-awtorità

Kredenzjali VPN tiġi aċċettata għax il-konfigurazzjoni fuq in-naħa tas-server tgħid hekk. Għaċ-ċertifikati dan ifisser li ċ-ċertifikat jingħaqad ma' emittent affidabbli u ma jidhirx f'lista ta' revoka li tikkonsulta l-gateway. Għal WireGuard dan ifisser li ċ-ċavetta pubblika tal-peer tidher fil-konfigurazzjoni tal-interface. Li tħassar fajl fuq klijent ineħħi kopja waħda ta' sigriet u jħalli r-regola tal-aċċettazzjoni mingħajr ma jmissha.

Għalhekk ċavetta misruqa tkompli taħdem wara t-tindif ovvju, u għalhekk l-inċident iħossu mhux solvut anki meta l-konfigurazzjoni l-ġdida tkun installata.

Ibda mir-regola tas-server, imbagħad aħdem 'il barra lejn il-klijent.

Ċertifikati: is-server għandu d-deċiżjoni

Oħroġ is-sostituzzjoni permezz tal-proċess tal-emittent stess sabiex l-identità l-ġdida tiġi rreġistrata, imbagħad iġbed lura l-qadima b'revoka ffirmata. Il-gateway irid ikun konfigurat biex jikkonsulta dik is-sors ta' revoka, u irid jerġa' jgħabbiha, altrimenti l-fajl jibqa' fuq id-diska filwaqt li t-tunnel jibqa' jaċċetta n-numru serjali l-qadim. Is-sessjonijiet attivi jistgħu wkoll jgħixu sa negozjazzjoni mill-ġdid, għalhekk ippjana qabbda mill-ġdid.

Ivverifika li s-sostituzzjoni taħdem għall-applikazzjoni maħsuba, imbagħad ivverifika permezz ta' proċess approvat li ċ-ċertifikat irtirat ma jibqax jistabbilixxi aċċess.

Dawn huma żewġ testijiet differenti u t-tnejn huma meħtieġa. RFC 5280 jiddefinixxi s-semantika taċ-ċertifikat u tar-revoka li l-gateway qed jiddependi fuqha.

WireGuard: iċ-ċavetta tal-peer hija l-identità

WireGuard m'għandux saff taċ-ċertifikati: iċ-ċavetta pubblika tal-peer hija l-identità, u d-daħla allowed-ips tas-server hija l-awtorizzazzjoni. It-tneħħija tal-peer il-qadim mill-konfigurazzjoni tal-interface hija r-revoka, u tapplika minnufih għal handshakes ġodda.

Is-sessjonijiet eżistenti jispiċċaw meta l-handshake li jmiss ifalli, li normalment iseħħ fi ftit minuti pjuttost milli mill-ewwel.

Qassam il-konfigurazzjoni l-ġdida permezz ta' kanal li tafda bi password, għax iċ-ċavetta privata hija l-kredenzjali. Żomm ċavetta waħda għal kull apparat, sabiex apparat wieħed mitluf ma jġegħelx kull apparat jinbidel.

X'kien hemm ukoll f'dak il-pakkett

Pakkett tal-klijent spiss iġorr aktar miċ-ċavetta privata: ċavetta TLS statika, isem tal-utent u password, sigriet kondiviż minn qabel jew token tal-provvista. Illimita l-inċident għal dak li fil-fatt ġie espost u dawwar dawk l-oġġetti wkoll. Li ddawwar iċ-ċertifikat filwaqt li tħalli ċavetta statika kondiviża f'postha tagħlaq bieb wieħed u tħalli ieħor miftuħ.

Jekk il-pakkett kien kondiviż bejn l-apparati, kull apparat li jġorru jiret l-espożizzjoni.

Ikteb x'ġie mdawwar, għax l-awditjar li jmiss se jistaqsi.

Ipprova ċ-ċaħda, imbagħad irreġistra s-sostituzzjoni

Is-sostituzzjoni hija kompluta meta jżommu żewġ fatti: l-identità l-ġdida taħdem għas-servizz maħsub, u dik il-qadima tiġi miċħuda. Ivverifika t-tieni bil-kredenzjali rtirata minn ambjent tat-test, jew b'attentat ikkontrollat li l-organizzazzjoni tapprova, u aqra l-logs tal-gateway biex tikkonferma li ċ-ċaħda ġiet mill-politika u mhux minn żball tat-tipjip. Imbagħad irreġistra l-identifikatur l-qadim, il-wieħed il-ġdid u l-ħin tal-bidla, għax dawk it-tliet valuri huma dak li jeħtieġ awditur biex jerġa' jibnih. Xejn ieħor fit-ticket mhu se jispjega l-vojt.

Żomm iċ-ċwievet privati barra mit-tickets u miċ-chat, u neħħi l-esportazzjonijiet skaduti mill-ħażna u mill-backups skont il-politika.

Sostituzzjoni mingħajr test taċ-ċaħda hija suppożizzjoni, mhux tiswija.