Ŝanĝi VPN-pasvorton sen ŝlosi ĉiun aparaton

Tri telefonoj, enkursigilo kaj monitora kontrolo ankoraŭ tenas la malnovan pasvorton, kaj unu el ili rekonektiĝas ĉiun naŭdek sekundojn. La konta pasvorto ŝanĝiĝis antaŭ dek minutoj, do ĉiu el tiuj klientoj nun sendas valoron, kiun la servilo rifuzas. Tio estas la momento, kiam la mito rompiĝas: pasvorta ŝanĝo tuŝas la konton, ne la kopiojn de la malnova valoro sur ĉiu aparato. Kio sekvas estas la laboro, kiun la ŝanĝo ne faris.

La mito: unu ŝanĝo, ĉie samtempe

La kredo estas, ke pasvorta ŝanĝo elsalutas ĉion kaj devigas puran relogon. Ĝi ne faras tion, ĉar la servilo nur spuras, kiun legitimilon ĝi laste akceptis, dum la klientoj tenas tion, kion ili konservis. Aparato kun konservita pasvorto ripetas ĝin laŭ sia propra horaro kaj malsukcesas silente, ĝis iu rimarkas, ke la konto estas ŝlosita. Kiam vi akceptas, ke la kopioj vivas ekster la konto, rotacio ĉesas aspekti kiel unu sola ago.

Nenio el tio argumentas kontraŭ rotacio. Ĝi argumentas por trakti la konservitajn kopiojn kiel parton de la ŝanĝo anstataŭ kiel postpenson. Ŝloso kutime venas de paralelaj ripetoj: ĉiu aparato daŭre sendas la malnovan valoron laŭ sia propra horaro, ĝis la nombrilo ekfunkcias. La konto tiam aspektas atakata, dum oni nur proponas al ĝi legitimilojn, kiujn neniu anstataŭigis. Tiu distingo gravas, ĉar la solvo estas listo de aparatoj, ne pli strikta ŝlosa politiko.

Inventaru la kopiojn antaŭ ol rotacii

Skribu la inventaron antaŭ ol malfermi la pasvortan formularon. Listigu ĉiun klienton, skripton, aŭtomatigon kaj administritan profilon, kiu aŭtentikigas kiel ĉi tiu konto: la telefono, kiu konektiĝas memstare, la enkursigilo agordita antaŭ du jaroj, la tekkomputilo, kiu vekiĝas nur lunde, kaj la monitora kontrolo, kiu provas ĉiun minuton. Por ĉiu notu, kie la legitimilo estas konservita, ĉu la aparato estas atingebla dum la ŝanĝo, kaj kiu revena vojo ekzistas, se ĝi ne povas rekonektiĝi. Tiu listo transformas riskan ŝanĝon en planitan, kaj ĝi devas ekzisti antaŭ ol la malnova pasvorto ĉesos funkcii.

Senretaj aparatoj estas la klasika preterlaso. Tekkomputilo en tirkesto revenas tri semajnojn poste kaj prezentas la kadukan valoron en la plej malbona ebla momento. Notu ankaŭ ĝian lokon kaj horaron, ĉar vi devos postkuri ĝin anstataŭ atendi ĝin.

En Linux-floto la serĉado estas mekanika, ne lerta. Serĉu profilon, kiu referencas legitimilan dosieron, poste la legitimilajn dosierojn mem, ĉar la dua listo estas tiu, kiun oni devas reskribi. Ripetu la ekzercon por surtablaj klientoj kaj telefonoj, kie la konservejo estas profilo aŭ ŝlosilĉena ero anstataŭ vojo. La celo estas listo, tra kiu vi povas labori, ne skano, kiu asertas trovi ĉiun kopion.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Komparu la kopiojn kun la homoj, kiuj posedas ilin. Aparato, kiun neniu postulas, estas aparato, kiun neniu ĝisdatigos, kaj ĝi estas ankaŭ la plej verŝajna daŭrigi ripetadon.

Kiun sekreton vi efektive rotacias

Konta pasvorto estas nur unu legitimilo en VPN-ekspansio. Ŝlosilfrazono, atestila identeco kaj laŭvola kunula sekreto ĉiu havas sian propran anstataŭigan vojon kaj sian propran posedanton. Ŝanĝi la kontan pasvorton faras nenion por aparato, kiu aŭtentikigas per atestilo, kaj reeldoni atestilon faras nenion por kliento, kiu tenas konservitan pasvorton. Nomu la sekreton antaŭ ol nomi la solvon.

Se la rotacion pelis suspekto anstataŭ politiko, la incidenta procezo superas la komfortan planon. Senvalidigu tion, kion la pruvoj postulas, kaj akceptu la plian laboron sur la aparata listo. Tiu decido apartenas al la incidenta posedanto, ne al tiu, kiu hazarde tenas la pasvortan restarigan formularon.

Anstataŭigu la konservitan valoron tie, kie ĝi vivas

Ŝanĝu la legitimilon per la mekanismo, kiun la servo dokumentas, poste ĝisdatigu la konservitan kopion aŭ rulu la ensalutan fluon sur ĉiu aparato, kiun vi intencas teni. Ne redaktu generitan agordon malantaŭ administrilo, kiu reskribas ĝin, ĉar la administrilo restarigas la pli malnovan valoron ĉe sia sekva rulo kaj la redakto fariĝas prokrastita fiasko. Ĝisdatigu la fonton, kiun la administrilo legas, aŭ uzu la propran legitimilan konservejon de la kliento. Ĉiel ajn, la aparato devas finiĝi kun la nova valoro en la loko, kiun la kliento efektive legas.

Kliento, kiu konservas pasvortan dosieron, bezonas reskribitan dosieron, dum kliento, kiu demandas, bezonas finitan ensaluton. NetworkManager tenas la sekreton ene de la konekta profilo, do la ŝanĝo iras tra nmcli anstataŭ tra tekstredaktilo:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profilo, kiu legas legitimilan dosieron, estas tria kazo. Anstataŭigu la enhavon de tiu dosiero, tenu ĝiajn permesojn fermitaj, kaj reŝargu la klienton anstataŭ redakti la profilon, kiu montras al ĝi. La profilo ne ŝanĝiĝis; nur la sekreto, kiun ĝi legas, ŝanĝiĝis.

Rekonektu ĉiun celitan aparaton unufoje, intence, kaj vidu, kiuj fiaskas. Se aparato daŭre fiaskas, rigardu la konton, al kiu ĝi montras, kaj la konservejon, kiun ĝi legas, antaŭ ol denove ŝanĝi la pasvorton, ĉar dua ŝanĝo multobligas la kopiojn, kiujn oni devas ĝisdatigi. Aparato, kiu fiaskas dufoje, kutime montras al la malĝusta konto aŭ legas konservejon, kiun vi ankoraŭ ne trovis. Riparu tion, poste rekonektu.

Sekcioj kaj ĵetonoj postvivas la pasvorton

Ŝanĝi la pasvorton ne pruvas, ke ekzistantaj sekcioj aŭ apartaj atestiloj estis revokitaj. Iuj servoj tenas sekcion viva ĝis ĝi eksvalidiĝos aŭ estos eksplicite finita, kaj eldonitaj ĵetonoj portas siajn proprajn vivojn. Kontrolu, kion la servo efektive faras, anstataŭ supozi, ke la ŝanĝo estis tutmonda. Se la ŝanĝon pelis suspekto, eksplicite finu la sekciojn kaj konfirmu la rezulton.

La gvidilo pri la vivociklo de legitimiloj en NIST SP 800-63B tenas aŭtentikigilojn kaj sekciojn en apartaj kategorioj, kaj tial pasvorta ŝanĝo kaj tutmonda elsaluto estas malsamaj operacioj. Traktu ilin kiel du taskojn kun du finkriterioj. La unua finiĝas, kiam la nova valoro funkcias, kaj la dua finiĝas, kiam la malnovaj sekcioj malaperis.

Registru la finiĝon sen skribi la novan pasvorton en la registron. Rotacia protokolo, kiu enhavas la legitimilon, estas nova incidento atendanta sur komuna disko. Notu la daton, la ĝisdatigitajn aparatojn kaj la aparatojn ankoraŭ pritraktotajn.