Thay khóa VPN bị lộ: máy chủ phải làm gì

Một máy tính xách tay mang khóa ứng dụng khách bị mất, và hành động đầu tiên thường là xóa bản sao cục bộ. Điều đó không thay đổi gì trên máy chủ, nơi vẫn giữ một ủy quyền sẽ chấp nhận khóa đó cho đến khi ai đó gỡ nó. Thay thế là hai thao tác, và chỉ thao tác thứ hai liên quan đến thông tin xác thực cũ.

Bản sao cục bộ không phải là thẩm quyền

Thông tin xác thực VPN được chấp nhận vì cấu hình phía máy chủ quy định như vậy. Với chứng chỉ, điều đó nghĩa là chứng chỉ chuỗi tới một nhà phát hành đáng tin cậy và không nằm trong danh sách thu hồi mà cổng kiểm tra. Với WireGuard, điều đó nghĩa là khóa công khai của đối tác xuất hiện trong cấu hình giao diện. Xóa một tệp trên máy khách chỉ gỡ một bản sao của bí mật và để nguyên quy tắc chấp nhận.

Đó là lý do một khóa bị đánh cắp vẫn hoạt động sau lần dọn dẹp hiển nhiên, và là lý do sự cố vẫn cảm giác chưa được giải quyết ngay cả khi cấu hình mới đã được cài đặt.

Bắt đầu từ quy tắc của máy chủ, rồi làm việc hướng ra ngoài tới máy khách.

Chứng chỉ: máy chủ nắm quyết định

Phát hành bản thay thế qua chính quy trình của nhà phát hành để danh tính mới được ghi nhận, sau đó thu hồi bản cũ bằng một thu hồi có chữ ký. Cổng phải được cấu hình để tra cứu nguồn thu hồi đó, và phải tải lại nó, nếu không tệp nằm trên đĩa trong khi đường hầm tiếp tục chấp nhận số sê-ri cũ. Các phiên đang hoạt động cũng có thể tồn tại đến lần thương lượng lại, nên hãy lên kế hoạch kết nối lại.

Xác nhận bản thay thế hoạt động cho ứng dụng dự định, sau đó xác nhận qua một quy trình được phê duyệt rằng chứng chỉ đã ngừng sử dụng không còn thiết lập quyền truy cập.

Đó là hai phép thử khác nhau và cả hai đều bắt buộc. RFC 5280 định nghĩa ngữ nghĩa chứng chỉ và thu hồi mà cổng dựa vào.

WireGuard: khóa của đối tác là danh tính

WireGuard không có tầng chứng chỉ: khóa công khai của đối tác là danh tính, và mục allowed-ips trên máy chủ là ủy quyền. Gỡ đối tác cũ khỏi cấu hình giao diện chính là thu hồi, và nó áp dụng ngay cho các lần bắt tay mới.

Các phiên hiện có kết thúc khi lần bắt tay tiếp theo thất bại, điều này thường xảy ra trong vài phút chứ không tức thời.

Phân phối cấu hình mới qua một kênh mà bạn sẽ giao mật khẩu, vì khóa riêng chính là thông tin xác thực. Giữ một khóa cho mỗi thiết bị, để một thiết bị bị mất không buộc mọi thiết bị phải thay đổi.

Còn gì nữa trong gói đó

Gói ứng dụng khách thường mang nhiều hơn khóa riêng: một khóa TLS tĩnh, tên người dùng và mật khẩu, một bí mật chia sẻ trước hoặc một mã thông báo cấp phát. Giới hạn sự cố ở những gì thực sự bị lộ và luân chuyển cả những mục đó. Luân chuyển chứng chỉ trong khi để một khóa tĩnh chia sẻ tại chỗ là đóng một cửa và để mở một cửa khác.

Nếu gói được chia sẻ giữa các thiết bị, mọi thiết bị mang nó đều thừa hưởng mức phơi nhiễm đó.

Ghi lại những gì đã luân chuyển, vì lần kiểm toán tiếp theo sẽ hỏi.

Chứng minh việc từ chối, rồi ghi nhận bản thay thế

Việc thay thế hoàn tất khi hai sự thật cùng đúng: danh tính mới hoạt động cho dịch vụ dự định, và danh tính cũ bị từ chối. Xác minh điều thứ hai bằng thông tin xác thực đã ngừng sử dụng từ môi trường thử nghiệm, hoặc bằng một lần thử có kiểm soát được tổ chức phê duyệt, và đọc nhật ký của cổng để xác nhận việc từ chối đến từ chính sách chứ không phải từ lỗi đánh máy. Sau đó ghi lại định danh cũ, định danh mới và thời điểm thay đổi, vì ba giá trị đó là thứ một kiểm toán viên cần để tái dựng lại. Không gì khác trong phiếu sẽ giải thích khoảng trống đó.

Giữ khóa riêng ngoài phiếu và cuộc trò chuyện, và xóa các bản xuất lỗi thời khỏi lưu trữ và bản sao lưu theo chính sách.

Một lần thay thế không có phép thử từ chối là một giả định, không phải một bản sửa.