การเปลี่ยนคีย์ VPN ที่รั่วไหล: สิ่งที่เซิร์ฟเวอร์ต้องทำ

แล็ปท็อปที่พกคีย์ไคลเอนต์หายไป และขั้นตอนแรกมักเป็นการลบสำเนาในเครื่อง สิ่งนั้นไม่เปลี่ยนอะไรบนเซิร์ฟเวอร์ ซึ่งยังมีการอนุญาตที่จะยอมรับคีย์นั้นจนกว่าจะมีคนถอดออก การเปลี่ยนคือสองการดำเนินการ และมีเพียงอย่างที่สองที่เกี่ยวกับข้อมูลรับรองเก่า

สำเนาในเครื่องไม่ใช่ผู้มีอำนาจ

ข้อมูลรับรอง VPN ถูกยอมรับเพราะการกำหนดค่าฝั่งเซิร์ฟเวอร์บอกเช่นนั้น สำหรับใบรับรอง นั่นหมายถึงใบรับรองเชื่อมโยงกับผู้ออกที่เชื่อถือได้และไม่ปรากฏในรายการเพิกถอนที่เกตเวย์ตรวจสอบ สำหรับ WireGuard นั่นหมายถึงคีย์สาธารณะของเพียร์ปรากฏในการกำหนดค่าอินเทอร์เฟซ การลบไฟล์บนไคลเอนต์ลบสำเนาหนึ่งของความลับและปล่อยกฎการยอมรับไว้ไม่แตะต้อง

นั่นคือเหตุผลที่ คีย์ที่ถูกขโมยยังใช้งานได้หลังการทำความสะอาดที่เห็นได้ชัด และเหตุผลที่เหตุการณ์ยังรู้สึกไม่ยุติแม้ติดตั้งการกำหนดค่าใหม่แล้ว

เริ่มจากกฎของเซิร์ฟเวอร์ แล้วทำงานออกไปทางไคลเอนต์

ใบรับรอง: เซิร์ฟเวอร์ถือการตัดสินใจ

ออกการเปลี่ยนผ่านกระบวนการของผู้ออกเองเพื่อให้ตัวตนใหม่ถูกบันทึก แล้วถอนตัวเก่าด้วยการเพิกถอนที่ลงนาม เกตเวย์ต้องกำหนดค่าให้ตรวจสอบแหล่งเพิกถอนนั้น และต้องโหลดใหม่ มิฉะนั้นไฟล์จะค้างอยู่บนดิสก์ในขณะที่อุโมงค์ยังยอมรับหมายเลขซีเรียลเก่า เซสชันที่ใช้งานอยู่อาจอยู่รอดได้จนถึงการเจรจาใหม่ ดังนั้นควรวางแผนเชื่อมต่อใหม่

ยืนยันว่าการเปลี่ยนทำงานกับแอปพลิเคชันที่ตั้งใจ แล้วยืนยันผ่านกระบวนการที่ได้รับอนุมัติว่าใบรับรองที่ปลดระวางไม่สร้างการเข้าถึงอีกต่อไป

นั่นคือการทดสอบสองแบบที่ต่างกันและต้องทำทั้งคู่ RFC 5280 กำหนดความหมายของใบรับรองและการเพิกถอนที่เกตเวย์พึ่งพา

WireGuard: คีย์ของเพียร์คือตัวตน

WireGuard ไม่มีชั้นใบรับรอง: คีย์สาธารณะของเพียร์คือตัวตน และรายการ allowed-ips ของเซิร์ฟเวอร์คือการอนุญาต การลบเพียร์เก่าออกจากการกำหนดค่าอินเทอร์เฟซคือการเพิกถอน และมีผลทันทีกับการจับมือใหม่

เซสชันที่มีอยู่จะสิ้นสุดเมื่อการจับมือครั้งถัดไปล้มเหลว ซึ่งมักเกิดขึ้นภายในไม่กี่นาทีไม่ใช่ทันที

แจกจ่ายการกำหนดค่าใหม่ผ่านช่องทางที่คุณจะมอบรหัสผ่านให้ เพราะคีย์ส่วนตัวคือข้อมูลรับรอง เก็บคีย์หนึ่งอันต่ออุปกรณ์ เพื่อให้อุปกรณ์ที่หายไปหนึ่งเครื่องไม่บังคับให้ทุกเครื่องเปลี่ยน

ยังมีอะไรอีกในบันเดิลนั้น

บันเดิลไคลเอนต์มักพกมากกว่าคีย์ส่วนตัว: คีย์ TLS แบบคงที่ ชื่อผู้ใช้และรหัสผ่าน ความลับที่แชร์ไว้ก่อน หรือโทเคนการจัดเตรียม จำกัดเหตุการณ์ไว้ที่สิ่งที่ถูกเปิดเผยจริงและหมุนรายการเหล่านั้นด้วย การหมุนใบรับรองโดยปล่อยคีย์คงที่ที่แชร์ไว้ปิดประตูบานหนึ่งและเปิดอีกบานไว้

หากบันเดิลถูกแชร์ระหว่างอุปกรณ์ ทุกอุปกรณ์ที่พกมันไว้จะสืบทอดการเปิดเผยนั้น

จดบันทึกว่าหมุนอะไรไป เพราะการตรวจสอบครั้งถัดไปจะถาม

พิสูจน์การปฏิเสธ แล้วบันทึกการเปลี่ยน

การเปลี่ยนจะสมบูรณ์เมื่อข้อเท็จจริงสองข้อคงอยู่: ตัวตนใหม่ทำงานกับบริการที่ตั้งใจ และตัวตนเก่าถูกปฏิเสธ ตรวจสอบข้อที่สองด้วยข้อมูลรับรองที่ปลดระวางจากสภาพแวดล้อมทดสอบ หรือด้วยความพยายามที่มีการควบคุมซึ่งองค์กรอนุมัติ และอ่านบันทึกของเกตเวย์เพื่อยืนยันว่าการปฏิเสธมาจากนโยบายไม่ใช่จากการพิมพ์ผิด จากนั้นบันทึกตัวระบุเก่า ตัวใหม่ และเวลาของการเปลี่ยนแปลง เพราะสามค่านี้คือสิ่งที่ผู้ตรวจสอบต้องการเพื่อสร้างใหม่ ไม่มีสิ่งอื่นในตั๋วจะอธิบายช่องว่างนั้น

เก็บคีย์ส่วนตัวไว้นอกตั๋วและการแชท และลบการส่งออกที่ล้าสมัยออกจากที่จัดเก็บและข้อมูลสำรองตามนโยบาย

การเปลี่ยนโดยไม่มีการทดสอบการปฏิเสธคือสมมติฐาน ไม่ใช่การแก้ไข