Inventariseer de VPN-profielen op een laptop voordat je hem afstoot

De laptop gaat terug naar de leasemaatschappij, naar een collega of naar de recycler. Ergens vanbinnen staan VPN-profielen die zich als iemand authenticeren, en een losgekoppeld clientpictogram betekent niet dat ze weg zijn. De inventaris die je wilt is een lijst van identiteiten en eigenaren, niet een map met gekopieerde sleutels. Het eerste is nuttig; het tweede is een nieuw incident dat op een datum wacht.

Vijf stappen, te beginnen bij wat de machine al over zichzelf weet.

Stap 1: inventariseer wat het systeem als geïnstalleerd beschouwt

Op Windows tonen Get-VpnConnection en Get-VpnConnection -AllUserConnection native profielen in beide scopes, en de lijst met geïnstalleerde programma's vangt de clients van derden. Op macOS toont het venster Netwerk de geconfigureerde diensten, en profielen leven in de systeemconfiguratie in plaats van in een map die je kunt doorbladeren. Op Linux bewaart NetworkManager verbindingsbestanden en houden de tunneldiensten hun eigen bestanden bij. Schrijf de lijst op voordat je iets verwijdert.

Een client die geïnstalleerd is maar geen zichtbaar profiel heeft, doet er nog steeds toe, want hij kan inloggegevens in de cache van een systeemopslag hebben.

Stap 2: vind de profielen die de clients bewaren

Profielen verstoppen zich op voorspelbare plekken zodra je het platform kent. Windows bewaart telefoonboeken onder het gebruikersprofiel en onder ProgramData, met certificaten in de persoonlijke opslag. macOS bewaart netwerkdiensten in de plist van de systeemconfiguratie en inloggegevens in Keychain. Linux-distributies bewaren NetworkManager-verbindingen onder /etc/NetworkManager/system-connections/, en WireGuard- of OpenVPN-definities onder /etc/wireguard/ en /etc/openvpn/. Bestanden in die paden bevatten vaak een privésleutel inline.

Zoek zowel op inhoud als op naam. Een bestand dat backup.txt heet, kan een OpenVPN-profiel met een sleutel erin zijn.

Stap 3: leg eigenaarschap vast, geen sleutelmateriaal

Noteer voor elk profiel de identificatie, de eigenaar, het laatst bekende gebruik en waar de gezaghebbende kopie staat. Kopieer de sleutel, het certificaat of het wachtwoord niet naar de inventaris, want een inventaris reist door tickets, spreadsheets en chat, en hij overleeft de laptop. Een verwijzing zoals de kluisregel van de beheerder voor profiel X volstaat om te handelen.

Een inventaris die de geheimen bevat die hij juist moest helpen intrekken, heeft het probleem groter gemaakt.

Stap 4: trek de identiteit aan beide kanten in

Een bestand verwijderen haalt één kopie weg. Als het apparaat nooit meer vertrouwd wordt, vraag de beheerder dan om de autorisatie te verwijderen, het certificaat in te trekken of het account te schrappen, want een kopie elders authenticeert nog steeds. Beheerde profielen en machinecertificaten hebben meestal al een uitfaseerprocedure die beide kanten kent, en die is sneller dan er zelf een verzinnen. Laat onbekende systeemregels met rust tot je weet wie ze bezit.

Lokaal verwijderen zonder intrekken op afstand is opruimen, geen uitfasering.

Stap 5: controleer de back-ups die je vergat

Oude exports staan in downloadmappen, in back-uparchieven, in een notitiebestand en op de externe schijf van twee banen geleden. Controleer degene die je beheert, en houd een vereist historisch record gescheiden van levende inloggegevens, want een archief van een ingetrokken profiel is een record en geen werkende sleutel.

Verifieer daarna de eindtoestand: de bedoelde toegang werkt niet meer, en de persoon die het account bezit weet dat het is verwijderd.