Zrób spis profili VPN na laptopie, zanim go wycofasz

Laptop wraca do firmy leasingowej, do kolegi albo do recyklingu. Gdzieś w środku siedzą profile VPN, które uwierzytelniają się jako ktoś, a odłączona ikona klienta nie znaczy, że ich nie ma. Inwentarz, którego potrzebujesz, to lista tożsamości i właścicieli, a nie folder skopiowanych kluczy. Pierwsze jest przydatne; drugie to nowy incydent czekający na datę.

Pięć kroków, zaczynając od tego, co maszyna już wie o sobie.

Krok 1: spisz, co system uważa za zainstalowane

W systemie Windows Get-VpnConnection i Get-VpnConnection -AllUserConnection wyświetlają profile natywne w obu zakresach, a widok zainstalowanych programów wyłapuje klientów firm trzecich. W systemie macOS okno Sieć pokazuje skonfigurowane usługi, a profile mieszkają w konfiguracji systemu, a nie w folderze, który można przeglądać. W systemie Linux NetworkManager trzyma pliki połączeń, a demony tuneli trzymają własne. Zanim cokolwiek usuniesz, zapisz tę listę.

Klient, który jest zainstalowany, ale nie ma widocznego profilu, nadal ma znaczenie, bo może trzymać buforowane poświadczenia w magazynie systemowym.

Krok 2: znajdź profile, które trzymają klienci

Profile kryją się w przewidywalnych miejscach, gdy znasz już platformę. Windows trzyma książki telefoniczne w profilu użytkownika i w ProgramData, a certyfikaty w magazynie osobistym. macOS trzyma usługi sieciowe w plist konfiguracji systemu, a poświadczenia w Keychain. Dystrybucje Linuksa trzymają połączenia NetworkManagera w /etc/NetworkManager/system-connections/, a definicje WireGuard lub OpenVPN w /etc/wireguard/ i /etc/openvpn/. Pliki w tych ścieżkach często zawierają klucz prywatny w treści.

Szukaj po zawartości, nie tylko po nazwie. Plik o nazwie backup.txt może być profilem OpenVPN z kluczem w środku.

Krok 3: zapisz właściciela, nie materiał klucza

Dla każdego profilu zapisz identyfikator, właściciela, ostatnie znane użycie i miejsce, gdzie leży kopia nadrzędna. Nie kopiuj klucza, certyfikatu ani hasła do inwentarza, bo inwentarz wędruje przez zgłoszenia, arkusze i czat i przeżyje laptopa. Wystarczy odwołanie, takie jak wpis w sejfie operatora dla profilu X, żeby dało się działać.

Inwentarz zawierający sekrety, które miał pomóc wycofać, powiększył problem.

Krok 4: wycofaj tożsamość po obu stronach

Usunięcie pliku usuwa jedną kopię. Jeśli urządzenie nigdy nie ma być ponownie zaufane, poproś operatora o odebranie autoryzacji, unieważnienie certyfikatu albo usunięcie konta, bo kopia gdzie indziej nadal się uwierzytelnia. Zarządzane profile i certyfikaty maszynowe zwykle mają procedurę przekazania, która zna oba końce, i jest ona szybsza niż wymyślanie jej na miejscu. Nieznane wpisy systemowe zostaw w spokoju, dopóki nie wiesz, kto jest ich właścicielem.

Lokalne usunięcie bez zdalnego unieważnienia to porządki, nie przekazanie.

Krok 5: sprawdź kopie zapasowe, o których zapomniałeś

Stare eksporty leżą w folderach pobierania, w archiwach kopii zapasowych, w pliku z notatkami i na dysku zewnętrznym z dwóch prac wstecz. Sprawdź te, które kontrolujesz, i trzymaj wymagany zapis historyczny z dala od żywych poświadczeń, bo archiwum unieważnionego profilu jest zapisem, a nie działającym kluczem.

Potem sprawdź stan końcowy: zamierzony dostęp już nie działa, a osoba zarządzająca kontem wie, że został usunięty.