VPN-salasanan vaihto lukitsematta kaikkia laitteita ulos

Kolme puhelinta, reititin ja yksi valvontatarkistus pitävät yhä vanhaa salasanaa, ja yksi niistä yhdistää uudelleen yhdeksänkymmenen sekunnin välein. Tilin salasana vaihdettiin kymmenen minuuttia sitten, joten jokainen näistä asiakkaista lähettää nyt arvon, jonka palvelin hylkää. Siinä hetkessä myytti murtuu: salasanan vaihto koskettaa tiliä, ei jokaisella laitteella olevia vanhan arvon kopioita. Seuraavaksi tulee työ, jota vaihto ei tehnyt.

Myytti: yksi vaihto, kaikkialla kerralla

Uskotaan, että salasanan vaihto kirjaa kaiken ulos ja pakottaa puhtaan uuden kirjautumisen. Näin ei käy, koska palvelin seuraa vain sitä, mitkä tunnistetiedot se viimeksi hyväksyi, kun taas asiakkaat pitävät sen, minkä tallensivat. Tallennetun salasanan omaava laite yrittää sitä uudelleen omalla aikataulullaan ja epäonnistuu hiljaa, kunnes joku huomaa tilin olevan lukittu. Kun hyväksyt, että kopiot elävät tilin ulkopuolella, rotointi lakkaa näyttämästä yhdeltä toimenpiteeltä.

Mikään tästä ei puhu rotointia vastaan. Se puhuu sen puolesta, että tallennetut kopiot kohdellaan osana vaihtoa eikä jälkisanoissa. Lukitus tulee yleensä rinnakkaisista uudelleenyrityksistä: jokainen laite lähettää vanhaa arvoa omalla aikataulullaan, kunnes laskuri laukeaa. Silloin tili näyttää hyökätyltä, vaikka sille vain tarjotaan tunnistetietoja, joita kukaan ei korvannut. Tämä ero on tärkeä, koska korjaus on laitelista eikä tiukempi lukituskäytäntö.

Inventoi kopiot ennen rotointia

Kirjoita inventaario ennen kuin avaat salasanan lomakkeen. Listaa jokainen asiakas, skripti, automaatio ja hallittu profiili, joka todentuu tänä tilinä: puhelin, joka yhdistää itse, kaksi vuotta sitten määritetty reititin, kannettava, joka herää vain maanantaisin, ja valvontatarkistus, joka yrittää joka minuutti. Merkitse jokaisesta, missä tunnistetiedot säilytetään, tavoitetaanko laite vaihdon aikana ja mikä palautumisreitti on, jos se ei voi yhdistää uudelleen. Juuri tämä lista muuttaa riskialttiin vaihdon suunnitelluksi, ja sen on oltava olemassa ennen kuin vanha salasana lakkaa toimimasta.

Offline-laitteet ovat klassinen puute. Lipaston laatikossa oleva kannettava palaa kolme viikkoa myöhemmin ja esittää vanhentuneen arvon pahimmalla mahdollisella hetkellä. Merkitse myös sen sijainti ja aikataulu, koska sinun on jäljitettävä se odottamisen sijaan.

Linux-laivastossa haku on mekaanista eikä älykästä. Etsi profiilit, jotka viittaavat tunnistetiedostoon, sitten itse tunnistetiedostot, koska toinen lista on se, joka on kirjoitettava uudelleen. Toista harjoitus työpöytäasiakkaille ja puhelimille, joissa säilö on profiili tai avainnipun merkintä eikä polku. Tavoite on lista, jonka läpi voit työskennellä, ei skannaus, joka väittää löytävänsä jokaisen kopion.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Vertaa kopioita ihmisiin, jotka omistavat ne. Laite, jota kukaan ei vaadi, on laite, jota kukaan ei päivitä, ja se on myös se, joka todennäköisimmin jatkaa uudelleenyrityksiä.

Mitä salaisuutta oikeastaan rotoit

Tilin salasana on vain yksi tunnistetieto VPN-käyttöönotossa. Avainlause, varmenneidentiteetti ja valinnainen vertaisosapuolen salaisuus ovat kullakin omalla korvauspolullaan ja omalla omistajallaan. Tilin salasanan vaihto ei tee mitään laitteelle, joka todentuu varmenteella, eikä varmenteen uudelleenmyöntäminen tee mitään asiakkaalle, jolla on tallennettu salasana. Nimeä salaisuus ennen kuin nimeät korjauksen.

Jos rotointia ajaa epäilys eikä käytäntö, tapahtumaprosessi menee mukavuussuunnitelman edelle. Peruuta se, mitä todisteet vaativat, ja hyväksy lisätyö laitelistalla. Päätös kuuluu tapahtuman omistajalle, ei sille, jonka kädessä salasanan nollauslomake sattuu olemaan.

Korvaa tallennettu arvo siellä, missä se elää

Vaihda tunnistetiedot mekanismilla, jonka palvelu dokumentoi, päivitä sitten tallennettu kopio tai suorita kirjautumisvirta jokaisella laitteella, jonka aiot pitää. Älä muokkaa luotua kokoonpanoa hallinnan takana, joka kirjoittaa sen uudelleen, koska hallinta palauttaa vanhemman arvon seuraavalla ajokerralla ja muokkauksesta tulee viivästynyt vika. Päivitä lähde, jonka hallinta lukee, tai käytä asiakkaan omaa tunnistetietosäilöä. Kummassakin tapauksessa laitteeseen on päädyttävä uusi arvo paikkaan, josta asiakas todella lukee.

Asiakas, joka tallentaa salasanatiedoston, tarvitsee tiedoston uudelleenkirjoituksen, kun taas asiakas, joka kysyy, tarvitsee valmiin kirjautumisen. NetworkManager pitää salaisuuden yhteyden profiilissa, joten vaihto kulkee nmcli:n kautta eikä tekstieditorin kautta:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profiili, joka lukee tunnistetiedostoa, on kolmas tapaus. Korvaa kyseisen tiedoston sisältö, pidä sen oikeudet suljettuina ja lataa asiakas uudelleen sen sijaan, että muokkaisit siihen viittaavaa profiilia. Profiili ei muuttunut; vain sen lukema salaisuus muuttui.

Yhdistä jokainen aiottu laite kerran uudelleen, tarkoituksella, ja katso mitkä epäonnistuvat. Jos laite epäonnistuu edelleen, katso tiliä, johon se osoittaa, ja säilöä, jota se lukee, ennen kuin vaihdat salasanan uudelleen, koska toinen vaihto moninkertaistaa päivitettävät kopiot. Laite, joka epäonnistuu kahdesti, osoittaa yleensä väärään tiliin tai lukee säilöä, jota et ole vielä löytänyt. Korjaa se ja yhdistä sitten uudelleen.

Istunnot ja tokenit elävät salasanaa pidempään

Salasanan vaihto ei todista, että olemassa olevat istunnot tai erilliset varmenteet on peruutettu. Jotkin palvelut pitävät istunnon elossa, kunnes se vanhenee tai lopetetaan nimenomaisesti, ja myönnetyillä tokeneilla on oma elinikänsä. Tarkista, mitä palvelu todella tekee, sen sijaan että olettaisit vaihdon olleen maailmanlaajuinen. Jos vaihto johtui epäilystä, lopeta istunnot nimenomaisesti ja vahvista tulos.

NIST SP 800-63B:n ohjeistus tunnistetietojen elinkaaresta pitää todentajat ja istunnot eri luokissa, minkä vuoksi salasanan vaihto ja maailmanlaajuinen uloskirjautuminen ovat eri toimintoja. Käsittele niitä kahtena tehtävänä, joilla on kaksi valmistumiskriteeriä. Ensimmäinen on valmis, kun uusi arvo toimii, ja toinen, kun vanhat istunnot ovat poissa.

Kirjaa valmistuminen kirjoittamatta uutta salasanaa tietueeseen. Rotointiloki, joka sisältää tunnistetiedot, on uusi tapahtuma, joka odottaa jaetulla levyllä. Merkitse päivämäärä, päivitetyt laitteet ja vielä kesken olevat laitteet.