Cambiar o contrasinal de VPN sen deixar fóra ningún dispositivo

Tres teléfonos, un router e unha comprobación de monitorización seguen gardando o contrasinal antigo, e un deles reconéctase cada noventa segundos. O contrasinal da conta cambiou hai dez minutos, así que cada un deses clientes envía agora un valor que o servidor rexeita. Ese é o momento en que o mito rompe: un cambio de contrasinal toca a conta, non as copias do valor antigo que hai en cada dispositivo. O que segue é o traballo que o cambio non fixo.

O mito: un cambio, en todas partes á vez

A crenza é que un cambio de contrasinal pecha todas as sesións e obriga a un inicio de sesión limpo. Non é así, porque o servidor só rexistra que credencial aceptou por última vez, mentres os clientes conservan o que gardaron. Un dispositivo cun contrasinal gardado reinténtao segundo o seu propio calendario e falla en silencio ata que alguén nota que a conta está bloqueada. Cando aceptas que as copias viven fóra da conta, a rotación deixa de parecer unha soa acción.

Nada diso argumenta contra a rotación. Argumenta a favor de tratar as copias gardadas como parte do cambio e non como algo pensado despois. Un bloqueo adoita vir de reintentos paralelos: cada dispositivo segue enviando o valor antigo segundo o seu calendario ata que salta o contador. Entón a conta parece atacada cando só se lle ofrecen credenciais que ninguén substituíu. Esa distinción importa, porque a solución é unha lista de dispositivos e non unha política de bloqueo máis estrita.

Inventaría as copias antes de rotar

Escribe o inventario antes de abrir o formulario de contrasinal. Enumera cada cliente, script, automatización e perfil xestionado que se autentica como esta conta: o teléfono que se conecta só, o router configurado hai dous anos, o portátil que só esperta os luns e a comprobación de monitorización que o tenta cada minuto. Para cada un, anota onde se garda a credencial, se se pode alcanzar o dispositivo durante o cambio e que ruta de recuperación existe se non pode reconectarse. Esa lista é o que converte un cambio arriscado nun programado, e debe existir antes de que o contrasinal antigo deixe de funcionar.

Os dispositivos fóra de liña son o esquecemento clásico. Un portátil nun caixón volve tres semanas despois e presenta o valor obsoleto no peor momento posible. Anota tamén a súa localización e o seu calendario, porque terás que perseguilo en lugar de esperalo.

Nunha frota Linux a busca é mecánica e non enxeñosa. Busca perfís que fagan referencia a un ficheiro de credenciais, despois busca os ficheiros de credenciais en si, porque a segunda lista é a que hai que reescribir. Repite o exercicio para clientes de escritorio e teléfonos, onde o almacén é un perfil ou unha entrada de chaveiro e non unha ruta. O obxectivo é unha lista coa que poidas traballar, non unha análise que afirme atopar cada copia.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Compara as copias coas persoas que as posúen. Un dispositivo que ninguén reclama é un dispositivo que ninguén actualizará, e tamén é o que máis probablemente siga reintentando.

Que segredo estás rotando en realidade

Un contrasinal de conta é só unha credencial nun despregamento de VPN. Unha frase de paso de clave, unha identidade de certificado e un segredo de par opcional teñen cada un a súa propia ruta de substitución e o seu propio propietario. Cambiar o contrasinal da conta non fai nada por un dispositivo que se autentica cun certificado, e reemitir un certificado non fai nada por un cliente que garda un contrasinal. Nomea o segredo antes de nomear a solución.

Se a rotación vén da sospeita e non da política, o proceso de incidente prevalece sobre o plan de comodidade. Revoga o que esixan as probas e acepta o traballo extra na lista de dispositivos. Esa decisión pertence ao responsable do incidente, non a quen teña por casualidade o formulario de restablecemento de contrasinal.

Substitúe o valor gardado onde vive

Cambia a credencial mediante o mecanismo que documenta o servizo, despois actualiza a copia gardada ou executa o fluxo de inicio de sesión en cada dispositivo que queiras conservar. Non edites unha configuración xerada detrás dun xestor que a reescribe, porque o xestor restaura o valor anterior na súa seguinte execución e a edición convértese nun fallo diferido. Actualiza a fonte que le o xestor ou usa o almacén de credenciais propio do cliente. De calquera forma, o dispositivo debe acabar co valor novo no lugar onde o cliente le de verdade.

Un cliente que garda un ficheiro de contrasinal necesita o ficheiro reescrito, mentres que un cliente que pregunta necesita un inicio de sesión completado. NetworkManager garda o segredo dentro do perfil de conexión, así que o cambio pasa por nmcli e non por un editor de texto:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Un perfil que le un ficheiro de credenciais é un terceiro caso. Substitúe o contido dese ficheiro, mantén os seus permisos pechados e recarga o cliente en lugar de editar o perfil que apunta a el. O perfil non cambiou; só cambiou o segredo que le.

Reconecta cada dispositivo previsto unha vez, a propósito, e observa cales fallan. Se un dispositivo segue fallando, mira a conta á que apunta e o almacén que le antes de cambiar o contrasinal outra vez, porque un segundo cambio multiplica as copias que hai que actualizar. Un dispositivo que falla dúas veces adoita apuntar á conta equivocada ou ler un almacén que aínda non atopaches. Corríxeo e volve conectar.

As sesións e os tokens sobreviven ao contrasinal

Cambiar o contrasinal non demostra que as sesións existentes ou os certificados separados fosen revogados. Algúns servizos manteñen viva unha sesión ata que expira ou se termina explicitamente, e os tokens emitidos levan a súa propia vida útil. Comproba que fai realmente o servizo en lugar de supor que o cambio foi global. Se o cambio veu da sospeita, termina as sesións explicitamente e confirma o resultado.

A guía do ciclo de vida das credenciais de NIST SP 800-63B mantén autenticadores e sesións en categorías separadas, e por iso un cambio de contrasinal e un peche de sesión global son operacións distintas. Trátaos como dúas tarefas con dous criterios de finalización. A primeira termina cando funciona o valor novo, e a segunda cando as sesións antigas desapareceron.

Rexistra a finalización sen escribir o contrasinal novo no rexistro. Un rexistro de rotación que conteña a credencial é un incidente novo agardando nun disco compartido. Anota a data, os dispositivos actualizados e os dispositivos aínda pendentes.