Sızdırılmış bir VPN anahtarını değiştirmek: sunucu ne yapmalı

İstemci anahtarı taşıyan bir dizüstü bilgisayar kayboldu ve ilk adım genellikle yerel kopyayı silmektir. Bu, sunucuda hiçbir şeyi değiştirmez; sunucu, biri onu kaldırana kadar o anahtarı kabul edecek bir yetkilendirmeyi hâlâ tutar. Değiştirme iki işlemdir ve yalnızca ikincisi eski kimlik bilgisiyle ilgilidir.

Yerel kopya yetkili değildir

Bir VPN kimlik bilgisi, sunucu tarafındaki yapılandırma öyle dediği için kabul edilir. Sertifikalar için bu, sertifikanın güvenilir bir vericiye zincirlendiği ve ağ geçidinin baktığı iptal listesinde görünmediği anlamına gelir. WireGuard için bu, eşin ortak anahtarının arayüz yapılandırmasında göründüğü anlamına gelir. Bir istemcide dosya silmek, bir sırrın bir kopyasını kaldırır ve kabul kuralını el değmemiş bırakır.

Bu yüzden çalınmış anahtar bariz temizlikten sonra da çalışmaya devam eder ve bu yüzden yeni yapılandırma kurulduğunda bile olay çözülmemiş gibi hissettirir.

Sunucunun kuralından başlayın, sonra istemciye doğru dışa doğru ilerleyin.

Sertifikalar: karar sunucuda

Değiştirmeyi, yeni kimlik kaydedilsin diye vericinin kendi süreci üzerinden verin, sonra eskisini imzalı bir iptalle geri çekin. Ağ geçidi bu iptal kaynağını sorgulayacak şekilde yapılandırılmalı ve onu yeniden yüklemelidir, yoksa dosya diskte kalırken tünel eski seri numarasını kabul etmeye devam eder. Etkin oturumlar yeniden müzakereye kadar da hayatta kalabilir, bu yüzden yeniden bağlanmayı planlayın.

Değiştirmenin amaçlanan uygulama için çalıştığını doğrulayın, ardından onaylı bir süreçle emekliye ayrılan sertifikanın artık erişim kurmadığını doğrulayın.

Bunlar iki farklı testtir ve ikisi de gereklidir. RFC 5280, ağ geçidinin dayandığı sertifika ve iptal semantiğini tanımlar.

WireGuard: eş anahtarı kimliğin kendisidir

WireGuard'ın sertifika katmanı yoktur: eşin ortak anahtarı kimliktir ve sunucunun allowed-ips girdisi yetkilendirmedir. Eski eşi arayüz yapılandırmasından kaldırmak iptalin kendisidir ve yeni el sıkışmalara hemen uygulanır.

Mevcut oturumlar bir sonraki el sıkışma başarısız olduğunda sona erer; bu genellikle hemen değil, birkaç dakika içinde gerçekleşir.

Yeni yapılandırmayı, bir parola emanet edeceğiniz bir kanaldan dağıtın, çünkü özel anahtar kimlik bilgisidir. Cihaz başına bir anahtar tutun, böylece tek bir kayıp cihaz her cihazı değiştirmeye zorlamaz.

O pakette başka ne vardı

Bir istemci paketi genellikle özel anahtardan fazlasını taşır: statik bir TLS anahtarı, bir kullanıcı adı ve parola, önceden paylaşılan bir sır veya bir hazırlama belirteci. Olayı gerçekten açığa çıkanla sınırlayın ve bu öğeleri de döndürün. Sertifikayı döndürürken paylaşılan statik anahtarı yerinde bırakmak bir kapıyı kapatıp diğerini açık bırakır.

Paket cihazlar arasında paylaşıldıysa, onu taşıyan her cihaz bu açığa çıkmayı devralır.

Neyin döndürüldüğünü yazın, çünkü bir sonraki denetim bunu soracak.

Reddi kanıtlayın, sonra değiştirmeyi kaydedin

Değiştirme iki gerçek geçerli olduğunda tamamlanır: yeni kimlik amaçlanan hizmet için çalışır ve eskisi reddedilir. İkincisini emekliye ayrılan kimlik bilgisiyle bir test ortamından veya kuruluşun onayladığı kontrollü bir denemeyle doğrulayın ve reddin politikadan mı yoksa bir yazım hatasından mı geldiğini doğrulamak için ağ geçidi günlüklerini okuyun. Ardından eski tanımlayıcıyı, yenisini ve değişiklik zamanını kaydedin, çünkü bir denetçinin yeniden oluşturmak için ihtiyaç duyduğu üç değer bunlardır. Kayıttaki başka hiçbir şey bu boşluğu açıklamaz.

Özel anahtarları kayıtların ve sohbetlerin dışında tutun ve politikaya göre depolama ile yedeklerden eski dışa aktarımları kaldırın.

Reddetme testi olmayan bir değiştirme, düzeltme değil varsayımdır.