Інвентаризація VPN-профілів на ноутбуці перед тим, як його списати

Ноутбук повертається лізинговій компанії, колезі або на переробку. Усередині нього є VPN-профілі, які автентифікуються як хтось, і відключена іконка клієнта не означає, що їх немає. Потрібна вам інвентаризація — це список ідентичностей і власників, а не тека з копіями ключів. Перше корисно; друге — нова подія, що чекає на дату.

П'ять кроків, починаючи з того, що машина вже знає про себе.

Крок 1: перелічіть те, що система вважає встановленим

У Windows Get-VpnConnection та Get-VpnConnection -AllUserConnection перелічують рідні профілі в обох областях, а подання встановлених програм ловить сторонніх клієнтів. У macOS панель Network показує налаштовані служби, а профілі живуть у системній конфігурації, а не в теці, яку можна переглянути. У Linux NetworkManager зберігає файли з'єднань, а демони тунелів — свої власні. Запишіть список, перш ніж щось видаляти.

Встановлений клієнт без видимого профілю все одно має значення, бо він може тримати кешовані облікові дані в системному сховищі.

Крок 2: знайдіть профілі, які зберігають клієнти

Профілі ховаються в передбачуваних місцях, щойно ви знаєте платформу. Windows тримає телефонні книги в профілі користувача та в ProgramData, а сертифікати — в особистому сховищі. macOS тримає мережеві служби в plist системної конфігурації, а облікові дані — у Keychain. Дистрибутиви Linux зберігають з'єднання NetworkManager у /etc/NetworkManager/system-connections/, а визначення WireGuard або OpenVPN — у /etc/wireguard/ та /etc/openvpn/. Файли в цих шляхах часто містять приватний ключ усередині.

Шукайте як за вмістом, так і за назвою. Файл із назвою backup.txt може бути профілем OpenVPN із ключем усередині.

Крок 3: записуйте власність, а не ключовий матеріал

Для кожного профілю запишіть ідентифікатор, власника, останнє відоме використання і те, де живе авторитетна копія. Не копіюйте ключ, сертифікат чи пароль в інвентаризацію, бо інвентаризація проходить через тікети, електронні таблиці та чат, і вона переживе ноутбук. Достатньо посилання на кшталт запису в сховищі оператора для профілю X.

Інвентаризація, що містить секрети, які мала допомогти списати, зробила проблему більшою.

Крок 4: списати ідентичність з обох кінців

Видалення файлу прибирає одну копію. Якщо пристрою більше ніколи не довірятимуть, попросіть оператора скасувати його авторизацію, відкликати сертифікат або видалити обліковий запис, бо копія деінде все ще автентифікується. Керовані профілі та машинні сертифікати зазвичай мають процес виведення з експлуатації, який уже знає про обидва кінці, і це швидше, ніж вигадувати його самому. Не чіпайте незнайомі системні записи, доки не знаєте, кому вони належать.

Локальне видалення без віддаленого відкликання — це прибирання, а не виведення з експлуатації.

Крок 5: перевірте резервні копії, про які забули

Старі експорти живуть у теках завантажень, у резервних архівах, у файлі нотаток і на зовнішньому диску з двох робіт тому. Перевірте ті, що ви контролюєте, і тримайте потрібний історичний запис окремо від живих облікових даних, бо архів відкликаного профілю — це запис, а не робочий ключ.

Потім перевірте кінцевий стан: призначений доступ більше не працює, і власник облікового запису знає, що його видалено.