VPN parolunu bütün cihazları kilidləmədən dəyişdirin

Üç telefon, bir marşrutlaşdırıcı və bir monitorinq yoxlaması hələ də köhnə parolu saxlayır və onlardan biri hər doxsan saniyədə yenidən qoşulur. Hesab parolu on dəqiqə əvvəl dəyişdirilib, ona görə də həmin klientlərin hər biri indi serverin rədd etdiyi dəyəri təqdim edir. Mif məhz bu anda qırılır: parol dəyişikliyi hesaba toxunur, hər cihazda oturan köhnə dəyərin kopyalarına yox. Bundan sonra gələn, dəyişikliyin etmədiyi işdir.

Mif: bir dəyişiklik, hər yerdə eyni anda

İnanc budur ki, parol dəyişikliyi hər şeyi çıxış etdirir və təmiz yenidən girişi məcbur edir. Belə deyil, çünki server yalnız ən son hansı etimadnaməni qəbul etdiyini izləyir, klientlər isə saxladıqlarını özlərində tutur. Saxlanılan parolu olan cihaz onu öz cədvəlinə uyğun yenidən yoxlayır və kimsə hesabın kilidləndiyini görməyənə qədər səssizcə uğursuz olur. Kopyaların hesabdan kənarda yaşadığını qəbul etdikdən sonra rotasiya artıq tək bir hərəkət kimi görünmür.

Bunların heç biri rotasiyanın əleyhinə deyil. Bu, saxlanılan kopyaları sonradan düşünülən deyil, dəyişikliyin hissəsi kimi qəbul etməyin tərəfindədir. Kilidlənmə adətən paralel yenidən cəhdlərdən yaranır: hər cihaz sayğac işə düşənə qədər köhnə dəyəri öz cədvəlinə uyğun təqdim etməyə davam edir. Sonra hesab hücuma məruz qalmış kimi görünür, halbuki ona yalnız heç kimin dəyişmədiyi etimadnamələr təklif olunur. Bu fərq vacibdir, çünki həll daha sərt kilidləmə siyasəti deyil, cihazların siyahısıdır.

Rotasiyadan əvvəl kopyaları inventarlaşdırın

Parol formasını açmadan əvvəl inventarı yazın. Bu hesab kimi autentifikasiya edən hər klienti, skripti, avtomatlaşdırmanı və idarə olunan profili sadalayın: özü qoşulan telefon, iki il əvvəl qurulan marşrutlaşdırıcı, yalnız bazar ertəsi oyanan noutbuk və hər dəqiqə cəhd edən monitorinq yoxlaması. Hər biri üçün etimadnamənin harada saxlandığını, dəyişiklik zamanı cihaza çatmağın mümkün olub-olmadığını və yenidən qoşula bilmirsə hansı bərpa yolunun olduğunu qeyd edin. Riskli dəyişikliyi planlaşdırılmış birinə çevirən məhz bu siyahıdır və köhnə parol işləməyi dayandırmazdan əvvəl mövcud olmalıdır.

Oflayn cihazlar klassik buraxılmadır. Siyirmədəki noutbuk üç həftə sonra qayıdır və köhnəlmiş dəyəri ən pis anda təqdim edir. Onun yerini və cədvəlini də qeyd edin, çünki onu gözləmək əvəzinə arxasınca getməli olacaqsınız.

Linux parkında axtarış ağıllı deyil, mexanikidir. Etimadnamə faylına istinad edən profilləri axtarın, sonra etimadnamə fayllarının özlərini axtarın, çünki yenidən yazılmalı olan ikinci siyahıdır. Masaüstü klientlər və telefonlar üçün məşqi təkrarlayın, çünki orada anbar yol deyil, profil və ya açarsaxlayıcı qeydidir. Məqsəd üzərində işləyə biləcəyiniz siyahıdır, hər kopyanı tapdığını iddia edən skan deyil.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Kopyaları onlara sahib olan insanlarla müqayisə edin. Heç kimin iddia etmədiyi cihaz heç kimin yeniləməyəcəyi cihazdır və o, həm də yenidən cəhdə davam etmə ehtimalı ən yüksək olandır.

Əslində hansı sirri rotasiya edirsiniz

Hesab parolu VPN yerləşdirməsində yalnız bir etimadnamədir. Açar ifadəsi, sertifikat kimliyi və isteğe bağlı həmkar sirri hər birinin öz dəyişdirmə yolu və öz sahibi var. Hesab parolunu dəyişmək sertifikatla autentifikasiya edən cihaz üçün heç nə etmir, sertifikatı yenidən vermək isə saxlanılan parolu tutan klient üçün heç nə etmir. Həlli adlandırmadan əvvəl sirri adlandırın.

Əgər rotasiya siyasətdən deyil, şübhədən qaynaqlanırsa, insident prosesi rahatlıq planından üstündür. Sübutun tələb etdiyini ləğv edin və cihaz siyahısındakı əlavə işi qəbul edin. Bu qərar parol sıfırlama formasını təsadüfən tutan şəxsə deyil, insident sahibinə aiddir.

Saxlanılan dəyəri yaşadığı yerdə dəyişdirin

Etimadnaməni xidmətin sənədləşdirdiyi mexanizm vasitəsilə dəyişin, sonra saxlanılan kopyanı yeniləyin və ya saxlamaq niyyətində olduğunuz hər cihazda giriş axınını işə salın. Onu yenidən yazan menecerin arxasındakı yaradılmış konfiqurasiyanı redaktə etməyin, çünki menecer növbəti işə salınmasında köhnə dəyəri bərpa edir və redaktə gecikmiş nasazlığa çevrilir. Menecerin oxuduğu mənbəni yeniləyin və ya klientin öz etimadnamə anbarından istifadə edin. Hər halda cihaz klientin həqiqətən oxuduğu yerdə yeni dəyərlə bitməlidir.

Parol faylını saxlayan klient faylın yenidən yazılmasına ehtiyac duyur, sorğu verən klient isə tamamlanmış girişə ehtiyac duyur. NetworkManager sirri bağlantı profili daxilində saxlayır, ona görə dəyişiklik mətn redaktorundan deyil, nmcli vasitəsilə gedir:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Etimadnamə faylını oxuyan profil üçüncü haldır. Həmin faylın məzmununu dəyişdirin, icazələrini qapalı saxlayın və ona işarə edən profili redaktə etmək əvəzinə klienti yenidən yükləyin. Profil dəyişmədi; yalnız oxuduğu sirr dəyişdi.

Hər nəzərdə tutulan cihazı bir dəfə, qəsdən yenidən qoşun və hansının uğursuz olduğuna baxın. Bir cihaz uğursuz olmağa davam edirsə, parolu yenidən dəyişməzdən əvvəl onun işarə etdiyi hesaba və oxuduğu anbara baxın, çünki ikinci dəyişiklik yenilənməli kopyaların sayını çoxaldır. İki dəfə uğursuz olan cihaz adətən səhv hesaba işarə edir və ya hələ tapmadığınız anbarı oxuyur. Bunu düzəldin, sonra yenidən qoşun.

Sessiyalar və tokenlər paroldan daha uzun yaşayır

Parolu dəyişmək mövcud sessiyaların və ya ayrı sertifikatların ləğv edildiyini sübut etmir. Bəzi xidmətlər sessiyanı bitənə və ya açıq şəkildə sonlandırılana qədər canlı saxlayır, verilən tokenlər isə öz ömürlərini daşıyır. Dəyişikliyin qlobal olduğunu fərz etmək əvəzinə xidmətin həqiqətən nə etdiyini yoxlayın. Dəyişiklik şübhədən qaynaqlanıbsa, sessiyaları açıq şəkildə sonlandırın və nəticəni təsdiqləyin.

Etimadnamə həyat dövrü təlimatı NIST SP 800-63B-də autentifikatorları və sessiyaları ayrı kateqoriyalarda saxlayır, buna görə parol dəyişikliyi və qlobal çıxış fərqli əməliyyatlardır. Onlara iki tamamlanma meyarı olan iki tapşırıq kimi yanaşın. Birincisi yeni dəyər işləyəndə bitir, ikincisi köhnə sessiyalar getdikdə bitir.

Tamamlanmanı yeni parolu qeydə yazmadan qeyd edin. Etimadnaməni ehtiva edən rotasiya jurnalı ümumi diskdə gözləyən yeni insidentdir. Tarixi, yenilənmiş cihazları və hələ qalmış cihazları qeyd edin.