Pagpapalit ng na-leak na VPN key: ano ang dapat gawin ng server

Nawala ang isang laptop na may dalang client key, at ang unang hakbang ay karaniwang pagbura ng lokal na kopya. Wala iyong binabago sa server, na mayroon pa ring awtorisasyong tatanggap sa key na iyon hanggang may mag-alis nito. Ang pagpapalit ay dalawang operasyon, at ang pangalawa lang ang may kinalaman sa lumang kredensyal.

Ang lokal na kopya ay hindi ang awtoridad

Tinatanggap ang kredensyal ng VPN dahil sinasabi ito ng configuration sa panig ng server. Para sa mga sertipiko, nangangahulugan itong nakakadena ang sertipiko sa isang pinagkakatiwalaang issuer at hindi lumalabas sa listahan ng pagpapawalang-bisa na tinitingnan ng gateway. Para sa WireGuard, nangangahulugan itong lumalabas ang pampublikong key ng peer sa configuration ng interface. Ang pagbura ng file sa kliyente ay nag-aalis ng isang kopya ng isang lihim at iniiwan ang tuntunin ng pagtanggap na hindi nagalaw.

Kaya patuloy na gumagana ang ninakaw na key pagkatapos ng halatang paglilinis, at kaya parang hindi pa nalutas ang insidente kahit nakabit na ang bagong configuration.

Magsimula sa tuntunin ng server, pagkatapos ay magtrabaho palabas patungo sa kliyente.

Mga sertipiko: hawak ng server ang desisyon

Ilabas ang kapalit sa pamamagitan ng sariling proseso ng issuer upang maitala ang bagong pagkakakilanlan, pagkatapos ay bawiin ang luma sa pamamagitan ng lagdaan na pagpapawalang-bisa. Dapat i-configure ang gateway upang tingnan ang pinagmumulan ng pagpapawalang-bisa, at dapat itong i-reload, kung hindi, mananatili ang file sa disk habang patuloy na tinatanggap ng tunnel ang lumang serial. Ang mga aktibong session ay maaari ring mabuhay hanggang sa muling negosasyon, kaya magplano ng muling pagkonekta.

Kumpirmahin na gumagana ang kapalit para sa nilalayong aplikasyon, pagkatapos ay kumpirmahin sa pamamagitan ng aprubadong proseso na hindi na nagtatatag ng access ang retiradong sertipiko.

Dalawang magkaibang pagsubok iyon at kailangan pareho. Tinutukoy ng RFC 5280 ang semantika ng sertipiko at pagpapawalang-bisa na pinagbabatayan ng gateway.

WireGuard: ang key ng peer ang pagkakakilanlan

Walang antas ng sertipiko ang WireGuard: ang pampublikong key ng peer ang pagkakakilanlan, at ang allowed-ips entry ng server ang awtorisasyon. Ang pag-alis ng lumang peer mula sa configuration ng interface ang pagpapawalang-bisa, at agad itong nalalapat sa mga bagong handshake.

Nagtatapos ang mga umiiral na session kapag nabigo ang susunod na handshake, na karaniwang nangyayari sa loob ng ilang minuto at hindi agad.

Ipamahagi ang bagong configuration sa isang channel na pagkakatiwalaan mo ng password, dahil ang pribadong key ang kredensyal. Panatilihin ang isang key bawat device, upang ang isang nawalang device ay hindi pilitin ang bawat device na magbago.

Ano pa ang nasa bundle na iyon

Kadalasang may dalang higit pa sa pribadong key ang bundle ng kliyente: isang static na TLS key, username at password, isang paunang ibinahaging lihim o provisioning token. Limitahan ang insidente sa aktwal na na-expose at paikutin din ang mga item na iyon. Ang pag-ikot ng sertipiko habang naiiwan ang isang ibinahaging static na key ay nagsasara ng isang pinto at nag-iiwan ng isa pang bukas.

Kung ibinahagi ang bundle sa mga device, minamana ng bawat device na may dalang ito ang exposure.

Isulat kung ano ang pinaikot, dahil tatanungin ito ng susunod na audit.

Patunayan ang pagtanggi, pagkatapos ay itala ang pagpapalit

Kumpleto ang pagpapalit kapag may dalawang katotohanang nananatili: gumagana ang bagong pagkakakilanlan para sa nilalayong serbisyo, at tinatanggihan ang luma. I-verify ang pangalawa gamit ang retiradong kredensyal mula sa test environment, o gamit ang kontroladong pagtatangkang inaprubahan ng organisasyon, at basahin ang mga log ng gateway upang kumpirmahin na ang pagtanggi ay nagmula sa patakaran at hindi sa maling pag-type. Pagkatapos ay itala ang lumang identifier, ang bago at ang oras ng pagbabago, dahil ang tatlong value na iyon ang kailangan ng auditor upang muling buuin ito. Wala nang iba sa ticket ang magpapaliwanag ng agwat.

Ilayo ang mga pribadong key sa mga ticket at chat, at alisin ang mga lipas na export mula sa storage at backup ayon sa patakaran.

Ang pagpapalit na walang pagsubok ng pagtanggi ay isang palagay, hindi isang pag-aayos.