Zamjena procurjelog VPN ključa: što poslužitelj mora učiniti

Izgubljeno je prijenosno računalo s klijentskim ključem, a prvi je korak obično brisanje lokalne kopije. To ne mijenja ništa na poslužitelju, koji još uvijek ima autorizaciju koja će prihvaćati taj ključ dok ga netko ne ukloni. Zamjena su dvije operacije, a samo se druga tiče starog vjerodajnog podatka.

Lokalna kopija nije autoritet

VPN vjerodajnica se prihvaća jer konfiguracija na strani poslužitelja tako kaže. Za certifikate to znači da se certifikat veže na pouzdanog izdavatelja i ne pojavljuje se na popisu opoziva koji pristupnik provjerava. Za WireGuard to znači da se javni ključ druge strane pojavljuje u konfiguraciji sučelja. Brisanjem datoteke na klijentu uklanja se jedna kopija tajne, a pravilo prihvaćanja ostaje nedirnuto.

Zato ukradeni ključ nastavlja raditi nakon očitog čišćenja i zato se incident čini neriješenim čak i kad je nova konfiguracija instalirana.

Krenite od pravila poslužitelja, a zatim radite prema van do klijenta.

Certifikati: poslužitelj drži odluku

Izdajte zamjenu kroz vlastiti postupak izdavatelja kako bi novi identitet bio zabilježen, a zatim povucite stari potpisanim opozivom. Pristupnik mora biti konfiguriran da provjerava taj izvor opoziva i mora ga ponovno učitati, inače datoteka stoji na disku dok tunel nastavlja prihvaćati stari serijski broj. Aktivne sesije mogu preživjeti do ponovnog pregovaranja, pa planirajte ponovno povezivanje.

Potvrdite da zamjena radi za predviđenu aplikaciju, a zatim odobrenim postupkom potvrdite da umirovljeni certifikat više ne uspostavlja pristup.

To su dva različita testa i oba su obavezna. RFC 5280 definira semantiku certifikata i opoziva na koju se pristupnik oslanja.

WireGuard: ključ druge strane je identitet

WireGuard nema sloj certifikata: javni ključ druge strane je identitet, a unos allowed-ips na poslužitelju je autorizacija. Uklanjanje stare strane iz konfiguracije sučelja je opoziv i odmah se primjenjuje na nova rukovanja.

Postojeće sesije završavaju kad sljedeće rukovanje ne uspije, što je obično unutar nekoliko minuta, a ne trenutno.

Distribuirajte novu konfiguraciju kanalom kojemu biste povjerili lozinku, jer je privatni ključ vjerodajnica. Držite jedan ključ po uređaju kako jedan izgubljeni uređaj ne bi prisilio svaki uređaj na promjenu.

Što je još bilo u tom paketu

Klijentski paket često nosi više od privatnog ključa: statični TLS ključ, korisničko ime i lozinku, unaprijed dijeljenu tajnu ili token za dodjelu. Ograničite incident na ono što je doista bilo izloženo i rotirajte i te stavke. Rotiranje certifikata dok dijeljeni statični ključ ostaje na mjestu zatvara jedna vrata, a druga ostavlja otvorena.

Ako je paket bio dijeljen među uređajima, svaki uređaj koji ga nosi nasljeđuje izloženost.

Zapišite što je rotirano, jer će sljedeća revizija pitati.

Dokažite odbijanje, zatim zabilježite zamjenu

Zamjena je dovršena kad vrijede dvije činjenice: novi identitet radi za predviđenu uslugu, a stari se odbija. Drugu provjerite umirovljenom vjerodajnicom iz testnog okruženja ili kontroliranim pokušajem koji organizacija odobri, i pročitajte zapise pristupnika kako biste potvrdili da odbijanje dolazi iz pravila, a ne iz tipfelera. Zatim zabilježite stari identifikator, novi i vrijeme promjene, jer su te tri vrijednosti ono što revizor treba da bi to rekonstruirao. Ništa drugo u zahtjevu neće objasniti prazninu.

Držite privatne ključeve izvan zahtjeva i razgovora i uklonite zastarjele izvore iz pohrane i sigurnosnih kopija u skladu s pravilima.

Zamjena bez testa odbijanja je pretpostavka, a ne popravak.