Wissel ’n VPN-wagwoord sonder om elke toestel uit te sluit

Drie telefone, ’n router en ’n moniteringstoets hou steeds die ou wagwoord, en een van hulle herverbind elke negentig sekondes. Die rekeningwagwoord is tien minute gelede verander, so elkeen van daardie kliënte dien nou ’n waarde in wat die bediener verwerp. Dit is die oomblik wanneer die mite breek: ’n wagwoordverandering raak die rekening, nie die kopieë van die ou waarde wat op elke toestel sit nie. Wat volg, is die werk wat die verandering nie gedoen het nie.

Die mite: een verandering, oral tegelyk

Die oortuiging is dat ’n wagwoordverandering alles afmeld en ’n skoon heranmelding afdwing. Dit doen dit nie, want die bediener hou net by watter geloofsbrief hy laas aanvaar het, terwyl die kliënte hou wat hulle ook al gestoor het. ’n Toestel met ’n gestoorde wagwoord probeer dit op sy eie skedule weer en misluk stilweg totdat iemand agterkom die rekening is gesluit. Sodra jy aanvaar dat die kopieë buite die rekening leef, lyk rotasie nie meer na ’n enkele aksie nie.

Niks hiervan argumenteer teen rotasie nie. Dit argumenteer daarvoor om die gestoorde kopieë as deel van die verandering te behandel eerder as ’n nagedagte. ’n Uitsluiting kom gewoonlik van parallelle herprobeerpogings: elke toestel bly die ou waarde op sy eie skedule instuur totdat die teller oorslaan. Die rekening lyk dan aangeval terwyl daar net geloofsbriewe aangebied word wat niemand vervang het nie. Daardie onderskeid maak saak, want die oplossing is ’n lys toestelle eerder as ’n strenger uitsluitingsbeleid.

Maak ’n inventaris van die kopieë voordat jy roteer

Skryf die inventaris voordat jy die wagwoordvorm oopmaak. Lys elke kliënt, script, outomatisering en bestuurde profiel wat as hierdie rekening authentiseer: die telefoon wat op sy eie verbind, die router wat twee jaar gelede opgestel is, die skootrekenaar wat net Maandae wakker word, en die moniteringstoets wat elke minuut probeer. Vir elkeen, noteer waar die geloofsbrief gestoor is, of die toestel tydens die verandering bereik kan word, en watter herstelroete bestaan as dit nie kan herverbind nie. Daardie lys is wat ’n riskante verandering in ’n geskeduleerde een omskep, en dit moet bestaan voordat die ou wagwoord ophou werk.

Vanlyn toestelle is die klassieke gemis. ’n Skootrekenaar in ’n laai kom drie weke later terug en bied die verouderde waarde op die heel slegste oomblik aan. Noteer ook sy ligging en sy skedule, want jy sal hom moet agtervolg eerder as om op hom te wag.

Op ’n Linux-vloot is die soektog meganies eerder as slim. Soek profiele wat na ’n geloofsbrieflêer verwys, soek dan na die geloofsbrieflêers self, want die tweede lys is die een wat herskryf moet word. Herhaal die oefening vir werkskermkliënte en telefone, waar die stoor ’n profiel of ’n sleutelring-inskrywing is eerder as ’n pad. Die doel is ’n lys waardeur jy kan werk, nie ’n skandering wat beweer hy vind elke kopie nie.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Weeg die kopieë op teen die mense wat hulle besit. ’n Toestel wat niemand opeis nie, is ’n toestel wat niemand sal bywerk, en dit is ook die een wat heel waarskynlik aanhou herprobeer.

Watter geheim jy eintlik roteer

’n Rekeningwagwoord is net een geloofsbrief in ’n VPN-ontplooiing. ’n Sleutelfrase, ’n sertifikaat-identiteit en ’n opsionele eweknie-geheim het elkeen sy eie vervangingspad en sy eie eienaar. Om die rekeningwagwoord te verander, doen niks vir ’n toestel wat met ’n sertifikaat authentiseer nie, en om ’n sertifikaat te heruitreik, doen niks vir ’n kliënt wat ’n gestoorde wagwoord hou nie. Benoem die geheim voordat jy die oplossing benoem.

As die rotasie deur vermoede eerder as deur beleid gedryf word, het die insidentproses voorrang bo die geriefsplan. Herroep wat die bewyse vereis en aanvaar die ekstra werk op die toestellys. Daardie besluit hoort by die insident-eienaar, nie by wie ook al toevallig die wagwoordherstelvorm vashou nie.

Vervang die gestoorde waarde waar dit woon

Verander die geloofsbrief deur die meganisme wat die diens dokumenteer, werk dan die gestoorde kopie by of voer die aanmeldvloei op elke toestel uit wat jy wil behou. Moenie ’n gegenereerde konfigurasie agter ’n bestuurder redigeer wat dit herskryf nie, want die bestuurder herstel die ouer waarde by sy volgende loop en die wysiging word ’n uitgestelde fout. Werk die bron by wat die bestuurder lees, of gebruik die kliënt se eie geloofsbriefstoor. In elk geval moet die toestel eindig met die nuwe waarde op die plek waar die kliënt werklik lees.

’n Kliënt wat ’n wagwoordlêer stoor, het die lêer herskryf nodig, terwyl ’n kliënt wat vra ’n voltooide aanmelding nodig het. NetworkManager hou die geheim binne die verbindingsprofiel, so die verandering gaan deur nmcli eerder as ’n teksredigeerder:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

’n Profiel wat ’n geloofsbrieflêer lees, is ’n derde geval. Vervang die inhoud van daardie lêer, hou sy regte geslote, en herlaai die kliënt in plaas daarvan om die profiel te redigeer wat daarheen wys. Die profiel het nie verander nie; net die geheim wat dit lees het.

Herverbind elke beoogde toestel een keer, doelbewus, en kyk watter faal. As ’n toestel aanhou faal, kyk na die rekening waarheen dit wys en na die stoor wat dit lees voordat jy die wagwoord weer verander, want ’n tweede verandering vermenigvuldig die kopieë wat bygewerk moet word. ’n Toestel wat twee keer faal wys gewoonlik na die verkeerde rekening of lees ’n stoor wat jy nog nie gevind het nie. Maak dit reg, en herverbind dan.

Sessies en tekens leef langer as die wagwoord

Om die wagwoord te verander, bewys nie dat bestaande sessies of aparte sertifikate herroep is nie. Sommige dienste hou ’n sessie lewendig totdat dit verval of eksplisiet beëindig word, en uitgereikte tekens dra hul eie leeftye. Kontroleer wat die diens werklik doen eerder as om aan te neem die verandering was globaal. As die verandering deur vermoede gedryf is, beëindig die sessies eksplisiet en bevestig die resultaat.

Die leiding oor geloofsbrieflewensiklusse in NIST SP 800-63B hou authenticators en sessies in aparte kategorieë, en daarom is ’n wagwoordverandering en ’n globale afmelding verskillende bewerkings. Behandel hulle as twee take met twee voltooiingskriteria. Die eerste is klaar wanneer die nuwe waarde werk, en die tweede is klaar wanneer die ou sessies weg is.

Teken die voltooiing aan sonder om die nuwe wagwoord in die rekord te skryf. ’n Rotasielog wat die geloofsbrief bevat, is ’n nuwe insident wat op ’n gedeelde skyf wag. Noteer die datum, die toestelle wat bygewerk is, en die toestelle wat nog uitstaande is.