Видалення збережених облікових даних VPN зі спільного комп'ютера

Ви видаляєте запис VPN, список профілів виглядає чистим, а облікові дані все ще там. Записи підключень, збережені паролі, сертифікати й закриті ключі живуть у різних сховищах, і спільний комп'ютер — не те місце, де варто вважати, що Disconnect або Uninstall закінчили роботу. Інструкція нижче йде від власних елементів керування клієнта назовні, до системного сховища, а потім до боку сервера, бо локальне видалення й віддалений відклик — різні дії з різними доказами.

Робіть це в такому порядку: якщо спершу прибрати доступ локально, решту кроків можна виконати без облікових даних, які ви намагалися стерти.

Почніть із компонента, якому належить запис

Використовуйте підтримувані застосунком елементи керування для видалення збережених облікових даних або профілів, а не вгадане ім'я файлу. Власний профіль операційної системи зазвичай живе в системному сховищі, тоді як сторонній клієнт часто тримає власний каталог конфігурації, і лише власний шлях видалення клієнта знає, який із них використано. Цей перелік також каже, які копії існують, а не які ви пам'ятаєте створеними, і ці два списки рідко збігаються.

Перш ніж щось видаляти, визначте, на що посилається запис. Профіль може вказувати на окремий файл пароля, експортований сертифікат або вбудований закритий ключ, і видалення підключення не обов'язково видаляє будь-що з цього.

Запишіть, що ви знайшли і де. Саме цей перелік робить наступний крок безпечним, бо каже, які копії існують, а не які ви пам'ятаєте створеними.

Перевірте файли, на які посилається профіль

Перегляньте каталог конфігурації клієнта, теку завантажень і будь-яке місце експорту, яким ви уповноважені керувати. Старі інсталятори й пакети підтримки — звичні місця для ключа, який ніхто не пам'ятає скопійованим, і саме це пізніше знаходить аудит. Перевірте й дату зміни, бо ключ, скопійований під час сеансу підтримки, легше датувати, ніж пояснити.

Не видаляйте матеріал ідентичності іншого користувача на спільному комп'ютері й не чіпайте профіль керованої організації, якщо це рішення не ваше. Видалення чужого сертифіката може обернутися простоєм із вашим ім'ям, і це не те, що означало «очистити VPN із цього ПК».

У macOS Keychain Access має власні задокументовані елементи керування, і елемент може бути під іменем, обраним клієнтом, а не під іменем профілю. На інших платформах дотримуйтеся справжніх інструкцій клієнта й системи, а не застосовуйте один загальний рецепт імені файлу з допису на форумі.

Вирішіть, чи серверу теж потрібен відклик

Видалення локальної копії не вимикає віддалений обліковий запис і не відкликає авторизацію відкритого ключа. Якщо пристрій більше не є довіреним або секрет міг бути скопійований, скористайтеся процедурою оператора для пароля, сертифіката чи видалення вузла. Це крок, який люди пропускають, і єдиний, що змінює те, що приймає дальня сторона.

Окремі ідентичності для кожного пристрою роблять це практичним: можна вивести з експлуатації одне встановлення на спільному комп'ютері, не заважаючи всім іншим пристроям цього користувача. Лише зміна пароля може не відкликати окремий клієнтський сертифікат або кожен сеансовий токен, тож перевірте, які облікові дані справді автентифікують підключення.

Запитайте оператора, що з цього застосовне, перш ніж обирати елемент керування. Зміна пароля для тунелю з автентифікацією сертифікатом видається корисною й нічого не змінює. Просіть артефакт, що доводить видалення, а не усне підтвердження, бо артефакт — це те, що прийме аудитор. Потім покладіть його поруч із тікетом.

Перевірте обидві половини

Перевірте локальний бік, знову відкривши клієнт і впевнившись, що профілю немає, а потім ще раз перегляньте зазначені файли: залишений на диску ключ — це знахідка, а не косметичне питання. Перевірте бік сервера, впевнившись, що видалення набуло чинності, використовуючи те, що надає оператор: перелік вузлів, запис відклику сертифіката або таблицю сеансів. Перевірку сервера робіть з іншої машини, бо суть у тому, що приймає дальня сторона, а не в тому, що вважає цей комп'ютер.

Зафіксуйте дію без секрету. Достатньо нотатки підтримки, де сказано, який профіль видалено, ким і коли; вставляння облікових даних у нотатку відтворює проблему в іншій системі.

Посібник Apple з Keychain Access — це орієнтир для цього сховища в macOS, і його варто прочитати перед видаленням елемента, якого ви не створювали.

Залиште пристрій у стані, який можете пояснити

Завершіть коротким твердженням про те, що зникло, а що ні: профіль клієнта видалено, запис у сховищі облікових даних видалено, файл ключа стерто, ідентичність на боці сервера відкликано. Якщо якийсь рядок каже «ймовірно», це не завершено. Зазначте також, хто виконав видалення на боці сервера, бо спільні машини переходять з рук у руки без запису про зміну. Зберігайте твердження разом із записом пристрою, а не в особистій нотатці.

На спільному комп'ютері це твердження і є передаванням. Наступній людині треба знати, машина чиста чи лише розлогінена.