VPN pasahitza aldatu gailu guztiak kanpoan utzi gabe

Hiru telefono, router bat eta monitorizazio egiaztapen bat oraindik pasahitz zaharrean daude, eta horietako bat laurogeita hamar segundoro berriz konektatzen da. Kontuaren pasahitza duela hamar minutu aldatu da, beraz bezero horietako bakoitzak zerbitzariak ukatzen duen balio bat bidaltzen du orain. Une horretan hausten da mitoa: pasahitz aldaketak kontua ukitzen du, ez gailu bakoitzean dagoen balio zaharreko kopiak. Hurrengoa aldaketak egin ez zuen lana da.

Mitoa: aldaketa bakarra, leku guztietan batera

Ustea da pasahitz aldaketak dena saioa hasten duela eta berriro saio-hasiera garbia behartzen duela. Ez du hori egiten, zerbitzariak azken aldian zein kredentzial onartu zuen baino ez baitu jasotzen, bezeroek gordetakoa mantentzen duten bitartean. Pasahitz gordea duen gailu batek bere egutegian berriz probatzen du eta isil-gordean huts egiten du, norbait kontua blokeatuta dagoela ohartu arte. Kopiak kontutik kanpo bizi direla onartzen duzunean, rotazioak ez du ekintza bakar bat bezala ematen.

Horietako ezerk ez du rotazioaren aurka egiten. Gordetako kopiak aldaketaren parte gisa tratatzearen alde egiten du, ez atzera pentsatutako zerbait bezala. Blokeoak berriz saiatze paraleloetatik etorri ohi dira: gailu bakoitzak balio zaharra bere egutegian bidaltzen jarraitzen du kontagailuak salto egin arte. Orduan kontua erasotua dirudi, inork ordezkatu ez zituen kredentzialak eskaintzen zaizkion bitartean. Bereizketa horrek garrantzia du, konponbidea gailuen zerrenda bat baita, ez blokeo politika zorrotzagoa.

Inbentariatu kopiak rotazioa egin aurretik

Idatzi inbentarioa pasahitz formularioa ireki aurretik. Zerrendatu kontu honen gisara autentifikatzen den bezero, script, automatizazio eta kudeatutako profil bakoitza: bere kabuz konektatzen den telefonoa, duela bi urte konfiguratutako routerra, astelehenetan soilik esnatzen den eramangarria, eta minuturo saiatzen den monitorizazio egiaztapena. Bakoitzarentzako, idatzi non gordetzen den kredentziala, aldaketan zehar gailua irisgarria den eta zein berreskuratze bide dagoen berriz konektatu ezin bada. Zerrenda horrek bihurtzen du aldaketa arriskutsua programatua, eta pasahitz zaharra funtzionatzeari utzi aurretik egon behar du.

Lineaz kanpoko gailuak ohiko hutsegitea dira. Kajoian dagoen eramangarri bat hiru aste geroago itzultzen da eta balio zaharkitua aurkezten du une okerrenean. Idatzi haren kokapena eta egutegia ere, atzetik ibili beharko duzulako, itxaron ordez.

Linux flotan bilaketa mekanikoa da, ez azkarra. Bilatu kredentzial fitxategi batera erreferentzia egiten duten profilak, gero kredentzial fitxategiak beraiek, bigarren zerrenda baita berridatzi behar dena. Errepikatu ariketa mahaigaineko bezeroentzat eta telefonoentzat, non biltegia profila edo giltza-sarreraren erregistroa den, ez bide bat. Helburua landu dezakezun zerrenda bat da, kopia guztiak aurkitzen dituela dioen eskaneatze bat ez.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Neurtu kopiak horiek dituzten pertsonen aurka. Inork aldarrikatzen ez duen gailua inork eguneratuko ez duen gailua da, eta berriz saiatzen jarraitzeko probabilitate handiena duena ere bada.

Zein sekretu ari zara benetan errotatzen

Kontuko pasahitza kredentzial bat baino ez da VPN inplementazio batean. Giltza-pasahitz bat, ziurtagiri identitate bat eta aukerako pareko sekretu bat bakoitzak bere ordezkatze bidea eta bere jabea ditu. Kontuaren pasahitza aldatzeak ez du ezer egiten ziurtagiri batekin autentifikatzen den gailuarentzat, eta ziurtagiri bat berriro igortzeak ez du ezer egiten pasahitz gordea duen bezeroarentzat. Izenda ezazu sekretua konponbidea izendatu aurretik.

Rotazioa politikak baino susmoak gidatzen badu, intzidentzia prozesuak erosotasun plana gainditzen du. Indargabetu frogek eskatzen dutena eta onartu gailuen zerrendako lan gehigarria. Erabaki hori intzidentziaren jabearena da, ez pasahitza berrezartzeko formularioa kasualitatez duenarena.

Ordezkatu gordetako balioa bizi den lekuan

Aldatu kredentziala zerbitzuak dokumentatzen duen mekanismoaren bidez, gero eguneratu gordetako kopia edo exekutatu saio-hasierako fluxua mantendu nahi duzun gailu bakoitzean. Ez editatu sortutako konfigurazio bat berridazten duen kudeatzaile baten atzean, kudeatzaileak balio zaharragoa berrezartzen baitu hurrengo exekuzioan eta edizioa atzeratutako hutsegite bihurtzen da. Eguneratu kudeatzaileak irakurtzen duen iturria, edo erabili bezeroaren kredentzial biltegia. Edozein modutan, gailuak balio berriarekin amaitu behar du bezeroak benetan irakurtzen duen lekuan.

Pasahitz fitxategi bat gordetzen duen bezeroak fitxategia berridatzita behar du, eta galdetzen duen bezeroak osatutako saio-hasiera behar du. NetworkManager-ek sekretua konexio profilean gordetzen du, beraz aldaketa nmcli bidez igarotzen da, testu editore bidez ez:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Kredentzial fitxategi bat irakurtzen duen profila hirugarren kasua da. Ordezkatu fitxategi horren edukia, mantendu haren baimenak itxita eta birkargatu bezeroa, hara seinalatzen duen profila editatu ordez. Profila ez zen aldatu; irakurtzen duen sekretua soilik aldatu zen.

Berriz konektatu xede duzun gailu bakoitza behin, nahita, eta ikusi zeintzuk huts egiten duten. Gailu batek huts egiten jarraitzen badu, begiratu seinalatzen duen kontua eta irakurtzen duen biltegia pasahitza berriro aldatu aurretik, bigarren aldaketa batek eguneratu beharreko kopiak biderkatzen baititu. Bi aldiz huts egiten duen gailu bat normalean kontu okerrera seinalatzen du edo oraindik aurkitu ez duzun biltegia irakurtzen du. Konpondu hori, eta gero berriz konektatu.

Saioek eta tokenek pasahitza baino gehiago irauten dute

Pasahitza aldatzeak ez du frogatzen lehendik dauden saioak edo ziurtagiri bereiziak indargabetu direnik. Zerbitzu batzuek saioa bizirik mantentzen dute iraungi edo esplizituki amaitu arte, eta igorritako tokenek beren bizitza dute. Egiaztatu zerbitzuak benetan egiten duena aldaketa globala izan zela suposatu ordez. Aldaketa susmoak gidatu badu, amaitu saioak esplizituki eta berretsi emaitza.

NIST SP 800-63B-ko kredentzialen bizi-zikloaren gidaritzak autentifikatzaileak eta saioak kategoria bereizietan mantentzen ditu, eta horregatik pasahitz aldaketa eta saio-amaiera globala eragiketa desberdinak dira. Trata itzazu bi zeregin eta bi amaitze-irizpide gisa. Lehena balio berriak funtzionatzen duenean amaitzen da, eta bigarrena saio zaharrak desagertu direnean.

Erregistratu amaiera pasahitz berria erregistroan idatzi gabe. Kredentziala duen rotazio erregistro bat partekatutako diskoan zain dagoen intzidentzia berria da. Idatzi data, eguneratutako gailuak eta oraindik zeuden gailuak.