Замена процурелог VPN кључа: шта сервер мора да уради

Изгубљен је преносни рачунар са кључем клијента, а први корак је обично брисање локалне копије. То не мења ништа на серверу, који још увек има ауторизацију која ће прихватати тај кључ док га неко не уклони. Замена су две операције, а само се друга тиче старих акредитива.

Локална копија није власт

VPN акредитив се прихвата зато што конфигурација на страни сервера тако каже. За сертификате то значи да се сертификат везује за поузданог издаваоца и не појављује се на листи опозива коју пролаз проверава. За WireGuard то значи да се јавни кључ партнера појављује у конфигурацији интерфејса. Брисањем датотеке на клијенту уклања се једна копија тајне, а правило прихватања остаје нетакнуто.

Зато украдени кључ наставља да ради после очигледног чишћења и зато се инцидент чини нерешеним чак и када је нова конфигурација инсталирана.

Почните од правила сервера, затим радите ка споља, ка клијенту.

Сертификати: одлуку држи сервер

Издајте замену кроз сопствени поступак издаваоца како би нови идентитет био забележен, а затим повуците стари потписаним опозивом. Пролаз мора бити конфигурисан да проверава тај извор опозива и мора га поново учитати, иначе датотека стоји на диску док тунел наставља да прихвата стари серијски број. Активне сесије могу преживети до поновног преговарања, зато планирајте поновно повезивање.

Потврдите да замена ради за предвиђену апликацију, а затим одобреним поступком потврдите да повучени сертификат више не успоставља приступ.

То су два различита теста и оба су потребна. RFC 5280 дефинише семантику сертификата и опозива на коју се пролаз ослања.

WireGuard: кључ партнера је идентитет

WireGuard нема слој сертификата: јавни кључ партнера је идентитет, а унос allowed-ips на серверу је ауторизација. Уклањање старог партнера из конфигурације интерфејса је опозив и одмах се примењује на нова руковања.

Постојеће сесије завршавају се када следеће руковање не успе, што се обично дешава у року од неколико минута, а не тренутно.

Дистрибуирајте нову конфигурацију каналом коме бисте поверили лозинку, јер је приватни кључ акредитив. Држите један кључ по уређају, како један изгубљени уређај не би присилио све уређаје на промену.

Шта је још било у том пакету

Клијентски пакет често носи више од приватног кључа: статички TLS кључ, корисничко име и лозинку, унапред дељену тајну или токен за обезбеђивање. Ограничите инцидент на оно што је заиста изложено и ротирајте и те ставке. Ротирање сертификата док дељени статички кључ остаје на месту затвара једна врата и оставља друга отворена.

Ако је пакет био дељен међу уређајима, сваки уређај који га носи наслеђује изложеност.

Запишите шта је ротирано, јер ће следећа ревизија питати.

Докажите одбијање, затим забележите замену

Замена је завршена када стоје две чињенице: нови идентитет ради за предвиђену услугу, а стари се одбија. Другу проверите повученим акредитивом из тестног окружења, или контролисаним покушајем који организација одобри, и прочитајте дневнике пролаза да потврдите да је одбијање дошло из политике, а не од штампарске грешке. Затим забележите стари идентификатор, нови и време промене, јер су те три вредности оно што је ревизору потребно да то реконструише. Ништа друго у тикету неће објаснити тај јаз.

Држите приватне кључеве изван тикета и разговора, и у складу са политиком уклоните застареле извозе из складишта и резервних копија.

Замена без теста одбијања је претпоставка, а не поправка.