Zamenjava razkritega ključa VPN: kaj mora storiti strežnik

Prenosnik s klientovim ključem se je izgubil, prvi korak pa je običajno brisanje lokalne kopije. To na strežniku nič ne spremeni, saj ta še vedno ima dovoljenje, ki bo ključ sprejelo, dokler ga nekdo ne odstrani. Zamenjava sta dve operaciji in le druga se nanaša na stare poverilnice.

Lokalna kopija ni oblast

Poverilnice VPN so sprejete, ker tako določa konfiguracija na strani strežnika. Pri potrdilih to pomeni, da se potrdilo poveže z zaupanja vrednim izdajateljem in ni na seznamu preklicev, ki ga preverja prehod. Pri WireGuardu to pomeni, da je javni ključ partnerja v konfiguraciji vmesnika. Brisanje datoteke na odjemalcu odstrani eno kopijo skrivnosti, pravilo sprejemanja pa ostane nedotaknjeno.

Zato ukradeni ključ deluje naprej tudi po očitnem čiščenju in zato se incident zdi nerešen tudi po namestitvi nove konfiguracije.

Začnite s pravilom strežnika, nato delajte navzven proti odjemalcu.

Potrdila: odločitev ima strežnik

Zamenjavo izdajte prek izdajateljevega lastnega postopka, da se nova identiteta zabeleži, nato staro prekličite s podpisanim preklicem. Prehod mora biti konfiguriran za preverjanje tega vira preklicev in ga mora znova naložiti, sicer datoteka ostane na disku, medtem ko tunel še naprej sprejema staro serijsko številko. Aktivne seje lahko preživijo do ponovnega dogovarjanja, zato načrtujte ponovno povezavo.

Potrdite, da zamenjava deluje za predvideno aplikacijo, nato z odobrenim postopkom potrdite, da upokojeno potrdilo ne vzpostavlja več dostopa.

To sta dva različna preizkusa in oba sta potrebna. RFC 5280 določa semantiko potrdil in preklica, na katero se prehod opira.

WireGuard: ključ partnerja je identiteta

WireGuard nima plasti potrdil: javni ključ partnerja je identiteta, vnos allowed-ips na strežniku pa je dovoljenje. Odstranitev starega partnerja iz konfiguracije vmesnika je preklic in velja takoj za nova rokovanja.

Obstoječe seje se končajo, ko naslednje rokovanje ne uspe, kar se običajno zgodi v nekaj minutah in ne takoj.

Novo konfiguracijo razdelite po kanalu, ki bi mu zaupali geslo, ker je zasebni ključ poverilnica. Imajte en ključ na napravo, da ena izgubljena naprava ne prisili k menjavi vseh.

Kaj je bilo še v tem paketu

Klientov paket pogosto nosi več kot zasebni ključ: statični ključ TLS, uporabniško ime in geslo, vnaprej deljeno skrivnost ali žeton za pripravo. Omejite incident na to, kar je bilo res izpostavljeno, in zavrtite tudi te elemente. Vrtenje potrdila ob ohranjenem deljenem statičnem ključu zapre ena vrata in pusti druga odprta.

Če je bil paket deljen med napravami, vsaka naprava, ki ga nosi, podeduje izpostavljenost.

Zapišite, kaj je bilo zavrteno, ker bo naslednja revizija to vprašala.

Dokažite zavrnitev, nato zabeležite zamenjavo

Zamenjava je končana, ko veljata dve dejstvi: nova identiteta deluje za predvideno storitev in stara je zavrnjena. Drugo preverite z upokojenimi poverilnicami iz testnega okolja ali s kontroliranim poskusom, ki ga organizacija odobri, in preberite dnevnike prehoda, da potrdite, da je zavrnitev prišla iz pravilnika in ne iz tipkarske napake. Nato zabeležite stari identifikator, novega in čas spremembe, ker so te tri vrednosti tisto, kar revizor potrebuje za rekonstrukcijo. Nič drugega v zahtevku ne bo pojasnilo te vrzeli.

Zasebne ključe hranite zunaj zahtevkov in klepetov in v skladu s pravilnikom odstranite zastarele izvoze iz shrambe in varnostnih kopij.

Zamenjava brez preizkusa zavrnitve je predpostavka, ne popravek.