Змяніць пароль VPN, не заблакіраваўшы ўсе прылады

Тры тэлефоны, маршрутызатар і адно праверанне маніторынгу ўсё яшчэ трымаюць стары пароль, і адна з іх перападключаецца кожныя дзевяноста секунд. Пароль уліковага запісу зменены дзесяць хвілін таму, таму кожны з гэтых кліентаў цяпер падае значэнне, якое сервер адхіляе. Менавіта ў гэты момант міф рушыцца: змена пароля закранае ўліковы запіс, а не копіі старога значэння на кожнай прыладзе. Далей ідзе праца, якую змена не зрабіла.

Міф: адна змена, адразу паўсюль

Устойлівае перакананне: змена пароля выводзіць з усіх сістэм і прымушае чысты паўторны ўваход. Гэта не так, бо сервер сочыць толькі за тым, якія ўліковыя даныя ён апошнімі прыняў, а кліенты захоўваюць тое, што захавалі. Прылада з захаваным паролем паўтарае яго па сваім графіку і моўчкі церпіць няўдачу, пакуль хтосьці не заўважыць, што ўліковы запіс заблакіраваны. Калі вы прымаеце, што копіі жывуць па-за ўліковым запісам, ратацыя перастае выглядаць адным дзеяннем.

Нішто з гэтага не супярэчыць ратацыі. Гэта супярэчыць стаўленню да захаваных копій як да дробязі, а не як да часткі змены. Блакіроўка звычайна ўзнікае з паралельных паўторных спроб: кожная прылада працягвае падаваць старое значэнне па сваім графіку, пакуль не спрацуе лічыльнік. Тады ўліковы запіс выглядае атакаваным, хоць яму проста прапануюць уліковыя даныя, якія ніхто не замяніў. Гэта розніца важная, бо рашэнне — спіс прылад, а не жорсткая палітыка блакіроўкі.

Пералічыце копіі перад ратацыяй

Напішыце інвентар да таго, як адкрыць форму пароля. Пералічыце кожнага кліента, скрыпт, аўтаматызацыю і кіраваны профіль, якія аўтэнтыфікуюцца як гэты ўліковы запіс: тэлефон, які падключаецца сам, маршрутызатар, наладжаны два гады таму, ноўтбук, які прачынаецца толькі па панядзелках, і праверку маніторынгу, якая спрабуе кожную хвіліну. Для кожнага адзначце, дзе захоўваюцца ўліковыя даныя, ці можна дасягнуць прылады падчас змены і які шлях аднаўлення ёсць, калі яна не зможа перападключыцца. Менавіта гэты спіс ператварае рызыкоўную змену ў запланаваную, і ён павінен існаваць да таго, як стары пароль перастане працаваць.

Аўтаномныя прылады — класічны прапах. Ноўтбук у шуфлядзе вяртаецца праз тры тыдні і падае састарэлае значэнне ў найгоршы момант. Адзначце таксама яго месца і графік, бо давядзецца даганяць яго, а не чакаць.

У парку Linux пошук механічны, а не разумны. Шукайце профілі, якія спасылаюцца на файл уліковых даных, затым самі файлы ўліковых даных, бо менавіта другі спіс трэба перапісаць. Паўтарыце практыкаванне для настольных кліентаў і тэлефонаў, дзе сховішча — гэта профіль або запіс у звязцы ключоў, а не шлях. Мэта — спіс, па якім можна працаваць, а не сканаванне, якое сцвярджае, што знайшло кожную копію.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Супутна стаўце копіі супраць людзей, якія імі валодаюць. Прылада, якую ніхто не заявіў, — гэта прылада, якую ніхто не абновіць, і менавіта яна хутчэй за ўсё будзе працягваць паўторныя спробы.

Які сакрэт вы насамрэч ратуеце

Пароль уліковага запісу — гэта толькі адны ўліковыя даныя ў разгортванні VPN. Парольная фраза ключа, ідэнтычнасць сертыфіката і неабавязковы сакрэт аднарангавага вузла маюць уласны шлях замены і ўласнага ўласніка. Змена пароля ўліковага запісу нічога не робіць для прылады, якая аўтэнтыфікуецца сертыфікатам, а перавыданне сертыфіката нічога не робіць для кліента з захаваным паролем. Назавіце сакрэт, перш чым называць рашэнне.

Калі ратацыя выкліканая падазрэннем, а не палітыкай, працэс інцыдэнту важнейшы за план зручнасці. Адклічце тое, чаго патрабуюць доказы, і прыміце дадатковую працу са спіса прылад. Гэтае рашэнне належыць уладальніку інцыдэнту, а не таму, хто выпадкова трымае форму скіду пароля.

Замяніце захаванае значэнне там, дзе яно жыве

Змяніце ўліковыя даныя праз механізм, які дакументуе сэрвіс, затым абнавіце захаваную копію або выканайце ўваход на кожнай прыладзе, якую збіраецеся пакінуць. Не рэдагуйце згенераваную канфігурацыю за менеджарам, які яе перапісвае, бо менеджар аднаўляе старое значэнне пры наступным запуску, і правака становіцца адтэрмінаванай памылкай. Абнавіце крыніцу, якую чытае менеджар, або выкарыстайце ўласнае сховішча ўліковых даных кліента. У любым выпадку прылада павінна атрымаць новае значэнне ў месцы, якое кліент сапраўды чытае.

Кліенту, які захоўвае файл пароля, патрэбна перапіска файла, а кліенту, які запытвае, патрэбен завершаны ўваход. NetworkManager трымае сакрэт унутры профілю злучэння, таму змена ідзе праз nmcli, а не праз тэкставы рэдактар:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Профіль, які чытае файл уліковых даных, — гэта трэці выпадак. Замяніце змесціва гэтага файла, пакіньце яго дазволы закрытымі і перазагрузіце кліент замест правакі профілю, які на яго спасылаецца. Профіль не змяніўся; змяніўся толькі сакрэт, які ён чытае.

Перападключыце кожную патрэбную прыладу адзін раз, свядома, і паглядзіце, якія не ўдаюцца. Калі прылада працягвае памыляцца, паглядзіце на ўліковы запіс, на які яна накіравана, і на сховішча, якое яна чытае, перш чым зноў мяняць пароль, бо другая змена памнажае копіі, якія трэба абнавіць. Прылада, якая памыляецца двойчы, звычайна накіравана на няправільны ўліковы запіс або чытае сховішча, якое вы яшчэ не знайшлі. Выпраўце гэта, затым перападключыцеся.

Сеансы і токены жывуць даўжэй за пароль

Змена пароля не даказвае, што існуючыя сеансы або асобныя сертыфікаты адкліканыя. Некаторыя сэрвісы трымаюць сеанс жывым, пакуль ён не скончыцца або не будзе яўна спынены, а выдадзеныя токены маюць уласны тэрмін жыцця. Праверце, што сэрвіс робіць насамрэч, замест таго каб меркаваць, што змена была глабальнай. Калі змена выкліканая падазрэннем, яўна спыніце сеансы і пацвердзіце вынік.

Кіраўніцтва па жыццёвым цыкле ўліковых даных у NIST SP 800-63B трымае аўтэнтыкатары і сеансы ў асобных катэгорыях, таму змена пароля і глабальны выхад — гэта розныя аперацыі. Адносьцеся да іх як да дзвюх задач з двума крытэрыямі завяршэння. Першая скончана, калі новае значэнне працуе, а другая — калі старых сеансаў не засталося.

Запішыце завяршэнне, не запісваючы новы пароль у запіс. Журнал ратацыі, які змяшчае ўліковыя даныя, — гэта новы інцыдэнт, які чакае на агульным дыску. Адзначце дату, абноўленыя прылады і прылады, якія яшчэ не завершаны.