Canvia la contrasenya de VPN sense deixar fora cap dispositiu

Tres telèfons, un encaminador i una comprovació de monitoratge encara guarden la contrasenya antiga, i un d’ells es reconnecta cada noranta segons. La contrasenya del compte es va canviar fa deu minuts, així que cadascun d’aquests clients envia ara un valor que el servidor rebutja. Aquest és el moment en què el mite es trenca: un canvi de contrasenya toca el compte, no les còpies del valor antic que hi ha a cada dispositiu. El que segueix és la feina que el canvi no va fer.

El mite: un canvi, a tot arreu alhora

La creença és que un canvi de contrasenya tanca totes les sessions i obliga a un inici de sessió net. No és així, perquè el servidor només recorda quina credencial va acceptar l’última vegada, mentre els clients guarden el que van desar. Un dispositiu amb una contrasenya desada la reintenta segons el seu propi calendari i falla en silenci fins que algú nota que el compte està bloquejat. Quan acceptes que les còpies viuen fora del compte, la rotació deixa de semblar una sola acció.

Res d’això no argumenta contra la rotació. Argumenta a favor de tractar les còpies desades com a part del canvi i no com una cosa pensada després. Un bloqueig sol venir de reintents paral·lels: cada dispositiu continua enviant el valor antic segons el seu calendari fins que el comptador salta. Llavors el compte sembla atacat quan només se li ofereixen credencials que ningú no ha substituït. Aquesta distinció importa, perquè la solució és una llista de dispositius i no una política de bloqueig més estricta.

Inventaria les còpies abans de rotar

Escriu l’inventari abans d’obrir el formulari de contrasenya. Llista cada client, script, automatització i perfil gestionat que s’autentiqui com aquest compte: el telèfon que es connecta sol, l’encaminador configurat fa dos anys, l’ordinador portàtil que només desperta els dilluns i la comprovació de monitoratge que ho prova cada minut. Per a cadascun, anota on es guarda la credencial, si es pot arribar al dispositiu durant el canvi i quina ruta de recuperació hi ha si no es pot reconnectar. Aquesta llista és el que converteix un canvi arriscat en un de programat, i ha d’existir abans que la contrasenya antiga deixi de funcionar.

Els dispositius fora de línia són l’oblit clàssic. Un portàtil en un calaix torna tres setmanes després i presenta el valor caducat en el pitjor moment possible. Anota també la seva ubicació i el seu calendari, perquè hauràs de perseguir-lo en lloc d’esperar-lo.

En una flota Linux la cerca és mecànica i no enginyosa. Busca perfils que facin referència a un fitxer de credencials, després busca els fitxers de credencials mateixos, perquè la segona llista és la que s’ha de reescriure. Repeteix l’exercici per als clients d’escriptori i els telèfons, on el magatzem és un perfil o una entrada de clauer i no un camí. L’objectiu és una llista amb què puguis treballar, no un escaneig que afirmi trobar cada còpia.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Compara les còpies amb les persones que les posseeixen. Un dispositiu que ningú no reclama és un dispositiu que ningú no actualitzarà, i també és el que més probablement continuarà reintentant.

Quin secret estàs rotant realment

Una contrasenya de compte és només una credencial en un desplegament de VPN. Una frase de pas de clau, una identitat de certificat i un secret d’igual opcional tenen cadascun la seva pròpia ruta de substitució i el seu propi propietari. Canviar la contrasenya del compte no fa res per a un dispositiu que s’autentica amb un certificat, i reemissar un certificat no fa res per a un client que guarda una contrasenya desada. Anomena el secret abans d’anomenar la solució.

Si la rotació ve de la sospita i no de la política, el procés d’incident té prioritat sobre el pla de comoditat. Revoca el que les proves requereixin i accepta la feina extra a la llista de dispositius. Aquesta decisió pertany a l’amo de l’incident, no a qui per casualitat té el formulari de restabliment de contrasenya.

Substitueix el valor desat on viu

Canvia la credencial pel mecanisme que documenta el servei, després actualitza la còpia desada o executa el flux d’inici de sessió a cada dispositiu que vulguis conservar. No editIs una configuració generada darrere d’un gestor que la reescriu, perquè el gestor restaura el valor més antic a la seva propera execució i l’edició es converteix en una fallada ajornada. Actualitza la font que llegeix el gestor o fes servir el magatzem de credencials propi del client. De qualsevol manera, el dispositiu ha d’acabar amb el valor nou al lloc on el client llegeix de debò.

Un client que desa un fitxer de contrasenya necessita el fitxer reescrit, mentre que un client que pregunta necessita un inici de sessió complet. NetworkManager guarda el secret dins del perfil de connexió, així que el canvi passa per nmcli i no per un editor de text:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Un perfil que llegeix un fitxer de credencials és un tercer cas. Substitueix el contingut d’aquest fitxer, mantén els permisos tancats i recarrega el client en lloc d’editar el perfil que hi apunta. El perfil no va canviar; només va canviar el secret que llegeix.

Reconnecta cada dispositiu previst una vegada, deliberadament, i mira quins fallen. Si un dispositiu continua fallant, mira el compte al qual apunta i el magatzem que llegeix abans de tornar a canviar la contrasenya, perquè un segon canvi multiplica les còpies que cal actualitzar. Un dispositiu que falla dues vegades sol apuntar al compte equivocat o llegir un magatzem que encara no has trobat. Corregeix-ho i torna a connectar.

Les sessions i els testimonis sobreviuen a la contrasenya

Canviar la contrasenya no demostra que les sessions existents o els certificats separats s’hagin revocat. Alguns serveis mantenen una sessió viva fins que expira o es tanca explícitament, i els testimonis emesos porten la seva pròpia vida útil. Comprova què fa realment el servei en lloc de suposar que el canvi va ser global. Si el canvi ve de la sospita, tanca les sessions explícitament i confirma el resultat.

La guia del cicle de vida de les credencials de NIST SP 800-63B manté autenticadors i sessions en categories separades, i per això un canvi de contrasenya i un tancament global de sessió són operacions diferents. Tracta’ls com dues tasques amb dos criteris de finalització. La primera acaba quan el valor nou funciona, i la segona acaba quan les sessions antigues han desaparegut.

Registra la finalització sense escriure la contrasenya nova al registre. Un registre de rotació que contingui la credencial és un incident nou esperant en un disc compartit. Anota la data, els dispositius actualitzats i els dispositius encara pendents.