In VPN-wachtwurd feroarje sûnder elk apparaat bûten te sluten

Trije tillefoans, in router en in monitoringkontrôle hâlde noch it âlde wachtwurd, en ien fan har ferbynt elke njoggentich sekonden opnij. It wachtwurd fan it akkount is tsien minuten lyn feroare, dus elk fan dy klanten stjoert no in wearde dy’t de tsjinner wegeret. Dat is it momint dêr’t de myte brekt: in wachtwurdferoaring rekket it akkount, net de kopyen fan de âlde wearde op elk apparaat. Wat folget is it wurk dat de feroaring net die.

De myte: ien feroaring, oeral tagelyk

De oertsjûging is dat in wachtwurdferoaring alles útlogt en in skjinne nije oanmelding twingt. Dat docht it net, want de tsjinner folget allinnich hokker bewiis fan identiteit er it lêst akseptearre, wylst de klanten hâlde wat se bewarre hawwe. In apparaat mei in bewarre wachtwurd probearret it neffens syn eigen skema opnij en mislearret stil, oant immen merkt dat it akkount beskoattele is. Sadree’t jo akseptearje dat de kopyen bûten it akkount libje, liket rotaasje net mear op ien hanneling.

Neat hjirfan pleitet tsjin rotaasje. It pleitet derfoar om de bewarre kopyen as diel fan de feroaring te behanneljen yn stee fan as neitins. In beskoatteling komt meastentiids fan parallelle werprobearingen: elk apparaat bliuwt de âlde wearde neffens syn eigen skema stjoere oant de teller ôfslacht. Dan liket it akkount oanfallen wylst der allinnich bewizen fan identiteit oanbean wurde dy’t nimmen ferfongen hat. Dat ûnderskie is wichtich, want de oplossing is in list fan apparaten en net in strangere beskoattelingsbelied.

Ynventarisearje de kopyen foar’t jo rotearje

Skriuw de ynventaris foar’t jo it wachtwurdformulier iepenje. Lis elke klant, skript, automatisearring en beheard profyl op dat him as dit akkount autentisearret: de tillefoan dy’t himsels ferbynt, de router dy’t twa jier lyn konfigurearre is, de laptop dy’t allinnich moandeis wekker wurdt, en de monitoringkontrôle dy’t elke minút probearret. Foar elk: skriuw op wêr’t it bewiis fan identiteit bewarre is, oft it apparaat tidens de feroaring berikt wurde kin en hokker werstelpaad bestiet as it him net opnij ferbine kin. Dy list is wat in riskante feroaring yn in plande feroaring feroaret, en hy moat bestean foar’t it âlde wachtwurd ophâldt te wurkjen.

Offline apparaten binne de klassike misser. In laptop yn in laad komt trije wiken letter werom en presintearret de ferâldere wearde op it minst mooglike momint. Skriuw ek syn lokaasje en skema op, want jo sille him efterfolgje moatte yn stee fan op him te wachtsjen.

Op in Linux-float is it sykjen meganysk yn stee fan tûk. Sykje profilen dy’t nei in bewiisbestân ferwize, sykje dan de bewiisbestannen sels, want de twadde list is dy’t oerskreaun wurde moat. Werhelje de oefening foar buroblêdklanten en tillefoans, dêr’t it bewarplak in profyl of in kaaieboske-ynskriuwing is yn stee fan in paad. It doel is in list dêr’t jo trochhinne wurkje kinne, net in scan dy’t beweart elke kopy te finen.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Mjit de kopyen ôf tsjin de minsken dy’t se besitte. In apparaat dat nimmen opeasket is in apparaat dat nimmen bywurkje sil, en it is ek datjinge dat it meast wierskynlik trochgiet mei werprobearjen.

Hokker geheim jo eins rotearje

In akkountwachtwurd is mar ien bewiis fan identiteit yn in VPN-ynset. In kaaipasfrase, in sertifikaatidentiteit en in opsjoneel peer-geheim hawwe elk har eigen ferfangingspaad en har eigen eigner. It akkountwachtwurd feroarje docht neat foar in apparaat dat him mei in sertifikaat autentisearret, en in sertifikaat opnij útjaan docht neat foar in klant mei in bewarre wachtwurd. Nammenoem it geheim foar’t jo de oplossing nammenoeme.

As de rotaasje troch erchtinken yn stee fan troch belied dreaun wurdt, giet it ynsidintproses foar op it gemaksplan. Lûk werom wat it bewiismateriaal freget en akseptearje it ekstra wurk op ’e apparatelist. Dy beslissing heart by de eigner fan it ynsidint, net by wa’t tafallich it wachtwurdwerstelformulier fêsthâldt.

Ferfange de bewarre wearde dêr’t se wennet

Feroarje it bewiis fan identiteit fia it meganisme dat de tsjinst dokumintearret, wurkje dan de bewarre kopy by of fiers de oanmeldingsstream út op elk apparaat dat jo hâlde wolle. Bewurkje gjin generearre konfiguraasje efter in behearder dy’t it oerskriuwt, want de behearder set de âldere wearde by syn folgjende rin werom en de bewurking wurdt in fertrage flater. Wurkje de boarne by dy’t de behearder lêst, of brûk it eigen bewarplak foar bewizen fan identiteit fan ’e klant. Hoe dan ek, it apparaat moat einigje mei de nije wearde op it plak dêr’t de klant echt lêst.

In klant dy’t in wachtwurdbeân bewarret hat it bestân oerskreaun nedich, wylst in klant dy’t freget in foltôge oanmelding nedich hat. NetworkManager hâldt it geheim binnen it ferbiningsprofyl, dus de feroaring giet fia nmcli yn stee fan fia in tekstbewurker:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

In profyl dat in bewiisbestân lêst is in tredde gefal. Ferfange de ynhâld fan dat bestân, hâld syn rjochten sletten en laad de klant opnij yn stee fan it profyl te bewurkjen dat dêrnei wiist. It profyl is net feroare; allinnich it geheim dat it lêst is feroare.

Ferbynt elk bedoeld apparaat ien kear opnij, bewust, en sjoch hokker mislearje. As in apparaat trochgiet mei mislearjen, sjoch dan nei it akkount dêr’t it nei wiist en it bewarplak dat it lêst foar’t jo it wachtwurd wer feroarje, want in twadde feroaring fermannichfâldiget de kopyen dy’t bywurke wurde moatte. In apparaat dat twa kear mislearret wiist meastentiids nei it ferkearde akkount of lêst in bewarplak dat jo noch net fûn hawwe. Reparearje dat, ferbyn dan opnij.

Sesjes en tokens oerlibje it wachtwurd

It wachtwurd feroarje bewiist net dat besteande sesjes of aparte sertifikaten weromlutsen binne. Guon tsjinsten hâlde in sesje libben oant dy ferrint of eksplisyt beëinige wurdt, en útjûne tokens drage har eigen libbensdoer. Kontrolearje wat de tsjinst eins docht yn stee fan oan te nimmen dat de feroaring globaal wie. As de feroaring troch erchtinken dreaun waard, beëinigje de sesjes dan eksplisyt en befêstigje it resultaat.

De lieding oer de libbenssyklus fan bewizen fan identiteit yn NIST SP 800-63B hâldt autentisearringen en sesjes yn aparte kategoryen, en dêrom binne in wachtwurdferoaring en in globale ôflogging ferskillende bewurkingen. Behannelje se as twa taken mei twa foltôgingskriteria. De earste is klear as de nije wearde wurket, en de twadde is klear as de âlde sesjes fuort binne.

Registrearje de foltôging sûnder it nije wachtwurd yn ’e registraasje te skriuwen. In rotaasjelog mei it bewiis fan identiteit is in nij ynsidint dat op in dielde skiif wachtet. Skriuw de datum, de bywurke apparaten en de apparaten dy’t noch iepensteane.