Login VPN vazado: o que ele desbloqueia e o que não

Quando uma senha VPN aparece num site de colagem, a primeira pergunta útil é o que aquela conta estava autorizada a validar, não quão forte era a cifra. São dois problemas separados com provas separadas, e fundi-los produz tanto pânico quanto falso conforto. Uma senha pode abrir um túnel, registrar um dispositivo ou desbloquear um portal, enquanto as chaves que protegem o tráfego durante uma sessão são derivadas noutro lugar e nunca são entregues com o login. Anote o que vazou antes de decidir qual dos dois problemas você tem.

Anote o que foi realmente exposto

Quatro incidentes diferentes são relatados como um só. Uma senha digitada numa página de phishing, uma chave de dispositivo copiada de um sistema de ficheiros, um segredo de túnel partilhado publicado num pacote de configuração e um ponto final em execução cuja memória foi capturada são quatro exposições distintas. Cada uma sustenta uma resposta diferente sobre o que acontece a seguir, e os passos de contenção divergem de imediato.

Peça o artefacto, não a descrição: um nome de ficheiro, uma linha de configuração, uma captura de ecrã com o seu cabeçalho ou a frase exata no relatório. O detalhe degrada-se cada vez que um incidente é recontado.

Inventarie a autoridade que a conta transporta

Pegue na conta e liste o que a admissão a ela permite. Destinos, protocolos e portas vêm primeiro, depois as operações que esses destinos permitem, depois as identidades separadas que ainda estão entre o túnel e os dados. Um servidor de ficheiros que pede a sua própria autenticação não é aberto pela admissão ao túnel, e isso é um facto a verificar, não uma razão para relaxar. As mesmas palavras, credenciais VPN, podem descrever uma saída pessoal para a internet e uma conta de funcionário que chega a um sistema documental, por isso o inventário é por conta.

Depois liste as outras superfícies da conta. Quando a mesma identidade inicia sessão num portal de serviços, descubra o que o portal permite: ler dados da conta, descarregar perfis, registar outro dispositivo ou alterar o acesso. Não assuma que essas funções existem nem que estão ausentes; leia a configuração implementada e o comportamento documentado do produto.

Termine a sessão, não apenas a senha

Alterar uma palavra-passe e terminar toda a autorização são ações diferentes na maioria das plataformas, e a lacuna entre elas é onde um intruso continua a trabalhar. Identifique o certificado ou a credencial do dispositivo por trás da sessão, revogue-o e confirme que o servidor realmente consulta os dados de revogação.

Com uma CA ao estilo Easy-RSA a sequência é curta, e o último passo é o que é saltado.

openssl x509 -in vpn-client.crt -noout -serial -subject -dates
./easyrsa revoke vpn-client
./easyrsa gen-crl

O servidor tem de carregar essa lista através da sua opção de revogação antes de a alteração significar algo, e uma sessão já estabelecida pode sobreviver até renegociar. Termine-a explicitamente se o produto expõe esse controlo, e registe o que terminou, quando e para que identidade.

As chaves de tráfego são uma investigação separada

O TLS 1.3 deriva as chaves de proteção de registos dos segredos do handshake, e com uma troca de chaves efémera esses segredos existem apenas para essa sessão e não podem ser recuperados da chave privada de longo prazo do servidor. Especificação TLS trata a proteção de registos como um mecanismo criptográfico e não como uma consequência de a palavra-passe da conta permanecer confidencial. É por isso que um login roubado não é prova de que pacotes capturados anteriormente se tornaram legíveis, e também não é garantia do contrário, pois a versão do protocolo, o modo de handshake e o material realmente exposto decidem a resposta.

Um pacote que contém uma chave privada ou um segredo partilhado estático desloca o caso para a outra categoria. Também o faz um ponto final comprometido, onde podem existir dados de aplicação legíveis e material de sessões vivas, por muito cuidadosamente que o próprio túnel tenha sido cifrado.

Contenha por material e depois verifique o que aconteceu

Para uma exposição apenas de palavra-passe o trabalho é a rotação de credenciais, a terminação de sessões, a revisão do portal e a verificação da mesma palavra-passe noutros sistemas. Para material de chave também inclui substituir a chave, reemitir certificados e rever tudo o que essa chave protegia, que é uma lista consideravelmente mais longa.

Depois estabeleça a fronteira das provas antes de a rotação sobrescrever o rasto. Uma entrada no registo do túnel prova a admissão, uma entrada no registo da aplicação prova um login de aplicação, e nenhuma prova a outra.

journalctl -u openvpn-server@server --since "2026-11-01" --no-pager

Mantenha a credencial em si fora do relatório do incidente. O relatório precisa da conta, do intervalo de tempo e do caminho das provas, não do segredo que iniciou a investigação.