Bûtensletten troch in VPN-wiersyklus: stop earst de klient

Om 02:40 slút it akkount en der is nimmen by it toetseboerd. In klient op in planke bliuwt it wachtwurd presintearjen dat er ferline moanne bewarre hat, de poarte bliuwt it ôfwizen, en de teller efter de blokkade klimt sûnder dat der in minske belutsen is. Dat is in wiersyklus en net in oanfal, en hy moat stoppe wurde foardat it akkount werombrocht wurde kin.

Behannelje it as twa problemen yn in fêste oarder. Stop earst de ôfstjoerder, werstel dêrnei de tagong, want oarsom set de syklus de lus binnen in pear minuten wer oan.

Fyn hokker proses de mislearrings stjoert

Begin by de tiidstimpels yn it identiteitssysteem en ferlykje se mei elke klient dy’t it akkount hat. In beheard profyl, in tsjinst sûnder tafersjoch, in telefoan yn in laad en in ekstra laptop mei âlde oanmeldgegevens kinne allegear autentisearje as deselde persoan. Dy’t elke pear sekonden mislearret is de syklus, en dy’t ien kear deis mislearret is meastal in minske dy’t it fergetten is. Beide fiede deselde teller, en dêryn sit de falstrik.

Ûnderskied in ôfwizing fan in net berikbere poarte wylststo sjochst. In tiidferrûn, in mislearre namme-oplossing of in sletten poarte fergrutsje meastal gjin mislearringsteller, wylst in foltôge autentikaasje-útwikseling dy’t in resultaat fan minne oanmeldgegevens weromjout dat wol docht. It mingen fan de beide jout de ferkearde oplossing, want de iene freget om de klient te stopjen en de oare om it paad te reparearjen.

Trije betingsten dy't it antwurd bepale

Trije feiten ferrane dit ta ien antwurd. Earst, oft it register in útdruklike ôfwizing of in ferfiersflater sjen lit. Twad, oft de identiteit dield is oer apparaten of tsjinsten. Tred, oft de werbesykjende klient ien is dy’tsto beheart of ien dy’t in oar kontrolearret.

In útdruklike ôfwizing fan ien klient dy’tsto kontrolearrest betsjut stop dy klient, ûntslút fia it goedkarde paad en doch ien bewuste oanmelding. In dielde identiteit stjoert it antwurd nei foarsjenning ynstee fan ûntsluting, want de syklus begjint wer op it stuit dat it oare apparaat wer ferbynt. Ferfiersflaters wize nei de netwurklaach, dêr’t akkountbeskerming hielendal net de kwestje is.

Gjin fan dy tûken betsjut it ferswakjen fan de beskerming. Blokkadesdrompels en taryflimiten besteane om’t itselde sinjaal dat dy by in steuring ergeret it sinjaal is dat in besykjen om in wachtwurd te rieden fertraget.

Stop de ôfstjoerder foardatsto ûntslútst

Stop de ienheid of ferbining dy’t bliuwt autentisearjen, en stop dy op in wize dy’t in werstart oerlibbet. It pauzearjen fan de klient is net genôch as syn tsjinst ynsteld is om by de opstart automatysk te begjinnen.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Wachtsje in pear minuten en befêstigje dat de mislearringsteller ophâldt mei bewegen. Dy pauze is it bewiis datsto de goede boarne fûn hast. As de mislearrings trochgeane, komt de syklus fan earne oars en soe de ûntslutingsstap fergriemd wêze.

Brûk pas dan it dokumintearre ûntslutings- of werstelproses fan de operator, en folgje it mei krekt ien kontrolearre oanmelding fan it apparaat datsto hâlde wolst. Krekte drompels, ôfkuolperioaden en de bewurding fan it werstel binne tsjinstspesifyk, dus lês se ynstee fan in getal te rieden.

Helje de oarsaak fuort sadat dy net weromkomt

Werk de bewarre oanmeldgegevens by wêr’t se eigendom binne: yn ‘e kaai-ring fan it bestjoeringssysteem, yn it klientprofyl of yn ‘e konfiguraasje fan it tsjinstakkount. It wiskjen op ien plak wylst in oar in kopy hâldt is hoe’t de syklus in wike letter weromkomt, meastal as in laptop dy’t offline wie weromkomt en syn bewarre wearde wer ôfspilet.

Jou automatisearring syn eigen identiteit. In apart foarsjoen akkount mei syn eigen oanmeldgegevens en syn eigen limiten hâldt in masineflater tsjin om in minske bûten de e-post te sluten, en it makket de flater yn ‘e logboeken taskriuwber. Foegje in weromlûking ta oan de klient sadat in ôfwiisd wachtwurd de werbesykjen stopset ynstee fan se te werheljen, en meitsje alarm op werhelle autentikaasjeflaters sadat de folgjende syklus binnen minuten opmurken wurdt en net om 02:40.

As it rapport nei stipe giet, hâld dan de akkountidentifikaasje, de tiidstimpels en de klientnamme. Wachtwurden en werstelmateriaal hearre nea yn dat register.