Výmena uniknutého kľúča VPN: čo musí urobiť server
Vymazanie súboru nič nemení na serveri. Výmena znamená novú identitu, ktorá funguje, a starú, ktorú brána naozaj odmieta, v tomto poradí.
Stratil sa notebook s klientskym kľúčom a prvým krokom je zvyčajne vymazanie lokálnej kópie. To nič nemení na serveri, ktorý stále má autorizáciu prijímajúcu tento kľúč, kým ju niekto neodstráni. Výmena sú dve operácie a len druhá sa týka starých prihlasovacích údajov.
Lokálna kópia nie je autorita
Prihlasovacie údaje VPN sa prijímajú preto, lebo to určuje konfigurácia na strane servera. Pri certifikátoch to znamená, že certifikát sa reťazí na dôveryhodného vydavateľa a nie je na zozname odvolaní, ktorý brána kontroluje. Pri WireGuarde to znamená, že verejný kľúč partnera je v konfigurácii rozhrania. Vymazanie súboru na klientovi odstráni jednu kópiu tajomstva a pravidlo prijímania zostane nedotknuté.
Preto ukradnutý kľúč funguje ďalej aj po zjavnom uprataní a preto incident pôsobí nevyriešene aj po nainštalovaní novej konfigurácie.
Začnite pravidlom servera, potom pracujte smerom von ku klientovi.
Certifikáty: rozhodnutie má server
Vydajte výmenu cez vlastný proces vydavateľa, aby bola nová identita zaznamenaná, a potom odvolajte starú podpísaným odvolaním. Brána musí byť nakonfigurovaná na kontrolu tohto zdroja odvolania a musí ho znova načítať, inak súbor leží na disku a tunel naďalej prijíma staré sériové číslo. Aktívne relácie môžu prežiť až do opätovného rokovania, preto naplánujte opätovné pripojenie.
Potvrďte, že výmena funguje pre zamýšľanú aplikáciu, potom schváleným postupom potvrďte, že vyradený certifikát už neposkytuje prístup.
Sú to dva rôzne testy a oba sú potrebné. RFC 5280 definuje sémantiku certifikátov a odvolania, na ktorú sa brána spolieha.
WireGuard: kľúč partnera je identita
WireGuard nemá vrstvu certifikátov: verejný kľúč partnera je identita a záznam allowed-ips na serveri je autorizácia. Odstránenie starého partnera z konfigurácie rozhrania je odvolanie a platí okamžite pre nové podania rúk.
Existujúce relácie sa končia, keď nasledujúce podanie rúk zlyhá, čo sa zvyčajne stane v priebehu niekoľkých minút, nie okamžite.
Distribuujte novú konfiguráciu kanálom, ktorému by ste zverili heslo, pretože súkromný kľúč je prihlasovací údaj. Majte jeden kľúč na zariadenie, aby jedno stratené zariadenie neprinútilo meniť všetky.
Čo ešte bolo v tom balíku
Klientsky balík často nesie viac ako súkromný kľúč: statický kľúč TLS, používateľské meno a heslo, vopred zdieľané tajomstvo alebo token na prípravu. Obmedzte incident na to, čo bolo skutočne odhalené, a rotujte aj tieto položky. Rotácia certifikátu pri ponechaní zdieľaného statického kľúča zavrie jedny dvere a nechá iné otvorené.
Ak bol balík zdieľaný medzi zariadeniami, každé zariadenie, ktoré ho nesie, dedí expozíciu.
Zapíšte, čo sa rotovalo, pretože ďalší audit sa na to opýta.
Dokážte odmietnutie, potom zaznamenajte výmenu
Výmena je dokončená, keď platia dve skutočnosti: nová identita funguje pre zamýšľanú službu a stará je odmietnutá. Druhú overte vyradenými prihlasovacími údajmi z testovacieho prostredia alebo kontrolovaným pokusom schváleným organizáciou a prečítajte si protokoly brány, aby ste potvrdili, že odmietnutie prišlo z politiky, nie z preklepu. Potom zaznamenajte starý identifikátor, nový a čas zmeny, pretože tieto tri hodnoty audítor potrebuje na rekonštrukciu. Nič iné v tikete tú medzeru nevysvetlí.
Súkromné kľúče držte mimo tiketov a chatu a podľa politiky odstráňte zastarané exporty z úložiska a záloh.
Výmena bez testu odmietnutia je predpoklad, nie oprava.