Cylchdroi cyfrinair VPN heb gloi pob dyfais allan

Mae tri ffôn, llwybrydd a gwiriad monitro yn dal yr hen gyfrinair o hyd, ac mae un ohonynt yn ailgysylltu bob naw deg eiliad. Newidiwyd cyfrinair y cyfrif ddeng munud yn ôl, felly mae pob un o’r cleientiaid hynny nawr yn cyflwyno gwerth y mae’r gweinydd yn ei wrthod. Dyna’r foment y mae’r myth yn torri: mae newid cyfrinair yn cyffwrdd â’r cyfrif, nid â’r copïau o’r hen werth sy’n eistedd ar bob dyfais. Yr hyn sy’n dilyn yw’r gwaith na wnaeth y newid.

Y myth: un newid, ym mhobman ar unwaith

Y gred yw bod newid cyfrinair yn allgofnodi popeth ac yn gorfodi ailfewnbyniad glân. Nid yw’n gwneud hynny, oherwydd dim ond pa gredensial y derbyniodd hi ddiwethaf y mae’r gweinydd yn ei olrhain, tra bo’r cleientiaid yn cadw beth bynnag a gadwasant. Mae dyfais â chyfrinair cadw yn ailgeisio ar ei hamserlen ei hun ac yn methu’n dawel nes bod rhywun yn sylwi bod y cyfrif wedi’i gloi. Unwaith y derbyniwch fod y copïau yn byw y tu allan i’r cyfrif, mae cylchdroi’n peidio â bod yn un weithred.

Nid yw dim o hyn yn dadlau yn erbyn cylchdroi. Mae’n dadlau dros drin y copïau a gadwyd fel rhan o’r newid yn hytrach na meddwl ar ôl. Mae cloi allan fel arfer yn dod o ailgeisiadau cyfochrog: mae pob dyfais yn parhau i gyflwyno’r hen werth ar ei hamserlen ei hun nes bod y rhifydd yn dawnsio. Yna mae’r cyfrif yn edrych fel pe bai’n cael ei ymosod pan nad yw ond yn cael credensialau na wnaeth neb eu disodli. Mae’r gwahaniaeth hwnnw’n bwysig, oherwydd rhestr o ddyfeisiau yw’r atgyweiriad, nid polisi cloi mwy llym.

Rhestrwch y copïau cyn i chi gylchdroi

Ysgrifennwch y rhestr cyn agor y ffurflen gyfrinair. Rhestra bob cleient, sgript, awtomeiddiad a phroffil a reolir sy’n dilysu fel y cyfrif hwn: y ffôn sy’n cysylltu ar ei phen ei hun, y llwybrydd a ffurfiwyd ddwy flynedd yn ôl, y gliniadur sy’n deffro ar ddydd Llun yn unig, a gwiriad monitro sy’n ceisio bob munud. Ar gyfer pob un, nodwch ble mae’r credensial yn cael ei storio, a ellir cyrraedd y ddyfais yn ystod y newid, a pha lwybr adfer sydd os na all ailgysylltu. Y rhestr honno sy’n troi newid peryglus yn un a drefnwyd, ac mae’n rhaid iddi fodoli cyn i’r hen gyfrinair roi’r gorau i weithio.

Dyfeisiau all-lein yw’r colliad clasurol. Mae gliniadur mewn drôr yn dychwelyd dair wythnos yn ddiweddarach ac yn cyflwyno’r gwerth hen ffasiwn ar y foment waethaf bosibl. Nodwch ei leoliad a’i amserlen hefyd, oherwydd bydd yn rhaid i chi ei erlid yn hytrach na’i aros.

Ar fflyd Linux mae’r chwilio’n fecanyddol yn hytrach na chlyfar. Chwiliwch am broffiliau sy’n cyfeirio at ffeil credensialau, yna chwiliwch am y ffeiliau credensialau eu hunain, oherwydd yr ail restr yw’r un y mae’n rhaid ei hailsgrifennu. Ailadroddwch yr ymarfer ar gyfer cleientiaid bwrdd gwaith a ffonau, lle mae’r storfa’n broffil neu’n gofnod yn y gadwyn allweddi yn hytrach na llwybr. Y nod yw rhestr y gallwch weithio drwyddi, nid sgan sy’n honni darganfod pob copi.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Pwyswch y copïau yn erbyn y bobl sy’n berchen arnynt. Mae dyfais nad oes neb yn ei hawlio’n ddyfais na fydd neb yn ei diweddaru, a hi hefyd yw’r un sydd fwyaf tebygol o barhau i ailgeisio.

Pa gyfrinach rydych chi’n ei chylchdroi mewn gwirionedd

Nid yw cyfrinair cyfrif ond un credensial mewn defnydd VPN. Mae gan gyfrinymadrodd allwedd, hunaniaeth tystysgrif a chyfrinach cymar dewisol bob un eu llwybr disodli a’u perchennog eu hunain. Nid yw newid cyfrinair y cyfrif yn gwneud dim i ddyfais sy’n dilysu â thystysgrif, ac nid yw ailddyroddi tystysgrif yn gwneud dim i gleient sy’n dal cyfrinair a gadwyd. Enwch y gyfrinach cyn i chi enwi’r atgyweiriad.

Os yw’r cylchdroi’n cael ei yrru gan amheuaeth yn hytrach na chan bolisi, mae’r broses digwyddiad yn trechu’r cynllun cyfleustra. Dirymwch yr hyn y mae’r dystiolaeth yn ei fynnu a derbyniwch y gwaith ychwanegol ar y rhestr ddyfeisiau. Mae’r penderfyniad hwnnw’n perthyn i berchennog y digwyddiad, nid i unrhyw un sy’n digwydd bod yn dal y ffurflen ailosod cyfrinair.

Disodlwch y gwerth a gadwyd lle mae’n byw

Newidiwch y credensial trwy’r mecanwaith y mae’r gwasanaeth yn ei ddogfennu, yna diweddarwch y copi a gadwyd neu rhedwch y llif mewngofnodi ar bob dyfais rydych chi’n bwriadu ei chadw. Peidiwch â golygu cyfluniad a gynhyrchwyd y tu ôl i reolwr sy’n ei ailysgrifennu, oherwydd mae’r rheolwr yn adfer yr hen werth ar ei rediad nesaf ac mae’r golygiad yn dod yn fethiant gohiriedig. Diweddarwch y ffynhonnell y mae’r rheolwr yn ei darllen, neu defnyddiwch storfa credensialau’r cleient ei hun. Naill ffordd neu’r llall, rhaid i’r ddyfais orffen gyda’r gwerth newydd yn y lle y mae’r cleient yn ei ddarllen mewn gwirionedd.

Mae cleient sy’n storio ffeil gyfrinair angen yr ailysgrifennu ffeil, tra bo cleient sy’n gofyn angen mewngofnodiad wedi’i gwblhau. Mae NetworkManager yn cadw’r gyfrinach y tu mewn i broffil y cysylltiad, felly mae’r newid yn mynd trwy nmcli yn hytrach na golygydd testun:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Mae proffil sy’n darllen ffeil credensialau yn drydydd achos. Disodlwch gynnwys y ffeil honno, cadwch ei chaniatadau’n gaeedig, ac ail-lwythwch y cleient yn hytrach na golygu’r proffil sy’n cyfeirio ati. Ni newidiodd y proffil; dim ond y gyfrinach y mae’n ei darllen a newidiodd.

Ailgysylltwch bob dyfais a fwriadwyd unwaith, yn fwriadol, a gwyliwch pa rai sy’n methu. Os yw dyfais yn parhau i fethu, edrychwch ar y cyfrif y mae’n cyfeirio ato ac ar y storfa y mae’n ei darllen cyn newid y cyfrinair eto, oherwydd mae ail newid yn lluosi’r copïau sydd angen eu diweddaru. Mae dyfais sy’n methu ddwywaith fel arfer yn cyfeirio at y cyfrif anghywir neu’n darllen storfa nad ydych chi wedi’i darganfod eto. Trwsiwch hynny, yna ailgysylltwch.

Mae sesiynau a thocynnau’n byw’n hwy na’r cyfrinair

Nid yw newid y cyfrinair yn profi bod sesiynau presennol neu dystysgrifau ar wahân wedi’u dirymu. Mae rhai gwasanaethau’n cadw sesiwn yn fyw nes iddi ddod i ben neu gael ei therfynu’n benodol, ac mae tocynnau a ddyroddwyd yn cario eu hoes eu hunain. Gwiriwch beth mae’r gwasanaeth yn ei wneud mewn gwirionedd yn hytrach na chymryd yn ganiataol fod y newid yn gyffredinol. Os oedd y newid yn cael ei yrru gan amheuaeth, terfynwch y sesiynau’n benodol a chadarnhewch y canlyniad.

Mae ganllaw cylch bywyd credensialau NIST SP 800-63B yn cadw dilysyddion a sesiynau mewn categorïau ar wahân, a dyna pam mae newid cyfrinair ac allgofnodi byd-eang yn wahanol weithrediadau. Triniwch nhw fel dwy dasg gyda dau faen prawf cwblhau. Mae’r gyntaf wedi gorffen pan fydd y gwerth newydd yn gweithio, a’r ail wedi gorffen pan fydd yr hen sesiynau wedi mynd.

Cofnodwch y cwblhad heb ysgrifennu’r cyfrinair newydd yn y cofnod. Mae log cylchdroi sy’n cynnwys y credensial yn ddigwyddiad newydd yn aros ar rannu disg. Nodwch y dyddiad, y dyfeisiau a ddiweddarwyd, a’r dyfeisiau sy’n dal heb eu gwneud.