Si të revokoni një pajisje VPN të humbur: çelës, certifikatë ose llogari

Laptopi juaj ka humbur, dhe VPN-ja ende e liston si klient. Pyetja urgjente nuk është si të fshini profilin në një makinë që nuk e keni më, por cili identitet pranohet ende nga serveri. WireGuard kontrollon një çelës publik, një konfigurim OpenVPN i bazuar në PKI kontrollon një certifikatë klienti, dhe një VPN me SSO kontrollon një llogari dhe tokenin e sesionit të saj. Këto të tre revokohen në vende të ndryshme dhe me shpejtësi të ndryshme, dhe rregullimi i njërës duke injoruar të tjerat është mënyra se si një pajisje e humbur mbetet e lidhur.

Tre identitete dhe çfarë kontrollon secili

Çdo mekanizëm përgjigjet një pyetjeje tjetër. Një çelës partner përgjigjet nëse kjo është makina që regjistruat. Një certifikatë përgjigjet nëse u nënshkrua nga CA-ja juaj dhe nuk u revokua. Një llogari përgjigjet nëse ky person u vërtetua mjaft kohët e fundit. Një vendosje që shtreson dy prej tyre, për shembull certifikatë plus hyrje në drejtori, e mbyll derën vetëm kur çdo shtresë që i dha pajisjes diçka të urdhërohet të mos e pranojë më.

Kurthi praktik është se makina që mungon mban gjysmën private të çdo kredencialeje, prandaj asgjë që bëni lokalisht nuk arrin serverin.

WireGuard: hiqni partnerin, sepse nuk ka listë revokimi

WireGuard nuk mban asnjë listë ndalimi. Ndërfaqja pranon saktësisht çelësat publikë të konfiguruar si partnerë, prandaj revokimi është fshirje: ekzekutoni wg set wg0 peer <public-key> remove, formën e dokumentuar në wg(8), pastaj fshini bllokun [Peer] përkatës nga wg0.conf. Bëni të dyja. Një heqje vetëm në kohë ekzekutimi zgjat deri në rindezjen ose ringarkimin e konfigurimit të radhës, kur skedari e kthen çelësin.

Sesionet ekzistuese nuk kanë nevojë për një kohëmatës për të vdekur. Heqja e partnerit hedh poshtë shtrëngimin e duarve dhe materialin e çelësit, prandaj trafiku ndalon sapo kërkohet përsëri një çift çelësash i vlefshëm. Kontrolloni wg show wg0 latest-handshakes në server: zëri i çelësit të humbur duhet të zhduket dhe të mbetet i zhdukur, ndërsa partnerët e tjerë vazhdojnë të raportojnë epoka të fundit.

Një paralajmërim ka më shumë rëndësi sesa duket. Nëse pajisja e humbur ndante një çelës me pajisje të tjera sepse dikush kopjoi një skedar konfigurimi, heqja e atij çelësi i shkëput të gjitha; është ende lëvizja e duhur, dhe më pas lëshoni çelësa për secilën pajisje veç e veç në vend që të riktheni atë të përbashkët.

Certifikatat: një CRL vlen vetëm nëse daemoni e lexon

Qasja e bazuar në certifikata shton një hap që njerëzit e kapërcejnë. easyrsa revoke laptop-01 e shënon certifikatën si të revokuar në bazën e të dhënave të CA-së, por VPN-ja nuk mëson asgjë nga ajo bazë. Pastaj ekzekutoni easyrsa gen-crl për të shkruar crl.pem, e kopjoni në shtegun e përmendur në opsionin crl-verify të serverit dhe konfirmoni se daemoni që punon përdor skedarin e ri. Revokimi pa rigjeneruar dhe shpërndarë CRL-në është pa efekt.

Koha është gjysma tjetër. Një CRL konsultohet kur një klient lidhet ose rinegocion, prandaj një tunel i vendosur mund të vazhdojë të përcjellë deri atëherë. Nëse pajisja duhet prerë menjëherë, përfundoni atë sesion në mënyrë eksplicite përmes ndërfaqes së menaxhimit të OpenVPN në vend që të prisni shtrëngimin e duarve të radhës. Ringarkimi ose rindezja e shërbimit, në varësi të mënyrës se si vendosja ngarkon CRL-në, është pjesë e ndryshimit dhe jo një shtesë opsionale.

Vlen ta bëni verifikimin nga një makinë tjetër: paraqisni certifikatën e revokuar dhe prisni një dështim të shtrëngimit të duarve, zakonisht VERIFY ERROR: depth=0, error=certificate revoked. Nëse lidhja vazhdon të ketë sukses, klienti po lexon një CRL tjetër nga ajo që përditësuat.

Llogaritë dhe sesionet: çaktivizimi nuk është i njëjtë me dëbimin

Hyrjet në drejtori ose me SSO kontrollohen në momentin e vërtetimit. Çaktivizimi i llogarisë bllokon hyrjen e radhës, por tokeni i rifreskimit dhe tuneli i vendosur mund të vazhdojnë të punojnë deri sa skadojnë. Revokoni sesionet dhe tokenët e atij përdoruesi, ose rritni një version sesioni nëse ofruesi i identitetit e mbështet. Hiqni pajisjen e humbur edhe nga regjistrimi MFA, sepse një vërtetues i regjistruar është në vetvete një rrugë qasjeje.

VPN-të e bazuara në RADIUS mund të dërgojnë një mesazh shkëputjeje ose një ndryshim autorizimi për të rrëzuar një sesion aktiv, por jo çdo server qasjeje në rrjet e respekton atë. Në dyshim, përfundoni sesionin e përdoruesit nga ana e serverit dhe konfirmoni në regjistra se sesioni i vjetër u mbyll.

Rendi i veprimeve për orën e ardhshme

Filloni nga inventari, jo nga klienti: listoni çdo identitet të lidhur me pajisjen, qoftë çelës partner, numër serie certifikate ose llogari. Revokoni në çdo sistem lëshues sipas rendit në të cilin ndërtohet lidhja, pra llogaria e para, pastaj certifikata, pastaj partneri. Pastaj provoni refuzimin nga një makinë që ju kontrolloni.

Dy hapa pasues harrohen lehtë. Së pari, rrotulloni çdo gjë tjetër që pajisja mbante, veçanërisht çelësat SSH, kredencialet e konsolës së resë dhe një çelës WireGuard të ndarë paraprakisht. Së dyti, kontrolloni që menaxhimi i konfigurimit, pamjet ose imazhet e arta nuk mund ta rikthejnë klientin e hequr në rindërtimin e radhës.

Zgjidhja e qëndrueshme është një identitet për pajisje. Kur çdo laptop mban çelësin ose certifikatën e vet, një humbje kushton një komandë revokimi dhe një rilëshim në vend të rindërtimit të të gjithë flotës.