દરેક ઉપકરણને લૉક આઉટ કર્યા વિના VPN પાસવર્ડ બદલો

ત્રણ ફોન, એક રાઉટર અને એક મોનિટરિંગ તપાસ હજી જૂનો પાસવર્ડ રાખે છે, અને તેમાંથી એક દર નેવું સેકન્ડે ફરી જોડાય છે. એકાઉન્ટનો પાસવર્ડ દસ મિનિટ પહેલાં બદલાયો છે, તેથી તે ક્લાયન્ટમાંથી દરેક હવે એવું મૂલ્ય મોકલે છે જે સર્વર નકારે છે. એ જ ક્ષણે દંતકથા તૂટે છે: પાસવર્ડ ફેરફાર એકાઉન્ટને સ્પર્શે છે, દરેક ઉપકરણ પર પડેલી જૂના મૂલ્યની નકલોને નહીં. આગળ જે આવે છે તે એ કામ છે જે ફેરફારે કર્યું નથી.

દંતકથા: એક ફેરફાર, બધે એકસાથે

માન્યતા એ છે કે પાસવર્ડ ફેરફાર બધું સાઇન આઉટ કરે છે અને સ્વચ્છ ફરી લૉગિન ફરજિયાત કરે છે. એવું થતું નથી, કારણ કે સર્વર ફક્ત એ યાદ રાખે છે કે તેણે છેલ્લે કઈ ઓળખપત્રક સ્વીકારી, જ્યારે ક્લાયન્ટ પોતે સાચવેલું રાખે છે. સાચવેલો પાસવર્ડ ધરાવતું ઉપકરણ પોતાના સમયપત્રક મુજબ તેને ફરી અજમાવે છે અને કોઈ એકાઉન્ટ લૉક થયું છે તે જાણે નહીં ત્યાં સુધી શાંતિથી નિષ્ફળ જાય છે. જ્યારે તમે સ્વીકારો કે નકલો એકાઉન્ટની બહાર રહે છે, ત્યારે રોટેશન એક જ ક્રિયા જેવું લાગવાનું બંધ થાય છે.

એમાંથી કંઈ પણ રોટેશન વિરુદ્ધ દલીલ કરતું નથી. તે સાચવેલી નકલોને પછીના વિચારને બદલે ફેરફારના ભાગ તરીકે ગણવાની તરફેણમાં દલીલ કરે છે. લૉક આઉટ સામાન્ય રીતે સમાંતર ફરી પ્રયાસોથી આવે છે: દરેક ઉપકરણ કાઉન્ટર ચાલુ ન થાય ત્યાં સુધી પોતાના સમયપત્રક મુજબ જૂનું મૂલ્ય મોકલતું રહે છે. પછી એકાઉન્ટ પર હુમલો થયો હોય તેવું લાગે છે, જ્યારે તેને ફક્ત એવી ઓળખપત્રકો અપાય છે જે કોઈએ બદલી નથી. એ ભેદ મહત્ત્વનો છે, કારણ કે ઉપાય વધુ કડક લૉક આઉટ નીતિ નહીં, ઉપકરણોની યાદી છે.

રોટેશન પહેલાં નકલોની યાદી બનાવો

પાસવર્ડ ફોર્મ ખોલતા પહેલાં યાદી લખો. આ એકાઉન્ટ તરીકે પ્રમાણિત થતા દરેક ક્લાયન્ટ, સ્ક્રિપ્ટ, ઓટોમેશન અને સંચાલિત પ્રોફાઇલની યાદી બનાવો: પોતાની જાતે જોડાતો ફોન, બે વર્ષ પહેલાં ગોઠવાયેલો રાઉટર, ફક્ત સોમવારે જાગતો લેપટોપ, અને દર મિનિટે પ્રયાસ કરતી મોનિટરિંગ તપાસ. દરેક માટે નોંધો કે ઓળખપત્રક ક્યાં સાચવેલી છે, ફેરફાર દરમિયાન ઉપકરણ સુધી પહોંચી શકાય છે કે નહીં, અને ફરી જોડાઈ ન શકે તો કયો પુનઃપ્રાપ્તિ માર્ગ છે. એ જ યાદી જોખમી ફેરફારને આયોજિત ફેરફારમાં ફેરવે છે, અને જૂનો પાસવર્ડ કામ કરવાનું બંધ કરે તે પહેલાં તે હોવી જોઈએ.

ઑફલાઇન ઉપકરણો એ ચિરપરિચિત ચૂક છે. ખાનામાં રહેલો લેપટોપ ત્રણ અઠવાડિયા પછી પાછો આવે છે અને સૌથી ખરાબ ક્ષણે જૂનું મૂલ્ય રજૂ કરે છે. તેનું સ્થાન અને સમયપત્રક પણ નોંધો, કારણ કે રાહ જોવાને બદલે તમારે તેની પાછળ દોડવું પડશે.

લિનક્સ કાફલામાં શોધ હોશિયાર નહીં, યાંત્રિક છે. ઓળખપત્રક ફાઇલનો સંદર્ભ આપતી પ્રોફાઇલ શોધો, પછી ઓળખપત્રક ફાઇલો પોતે શોધો, કારણ કે બીજી યાદી જ ફરીથી લખવાની છે. ડેસ્કટોપ ક્લાયન્ટ અને ફોન માટે કસરતનું પુનરાવર્તન કરો, જ્યાં ભંડાર માર્ગ નહીં, પ્રોફાઇલ કે કીહોલ્ડરની નોંધ છે. ધ્યેય એવી યાદી છે જેના પર તમે કામ કરી શકો, એવું સ્કેન નહીં જે દાવો કરે કે તે દરેક નકલ શોધે છે.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

નકલોને તેમના માલિકો સામે માપો. જે ઉપકરણનો દાવો કોઈ કરતું નથી તે એવું ઉપકરણ છે જેને કોઈ અપડેટ કરશે નહીં, અને તે જ ફરી પ્રયાસ ચાલુ રાખવાની સૌથી વધુ સંભાવના ધરાવે છે.

તમે ખરેખર કઈ ગુપ્ત વસ્તુનું રોટેશન કરી રહ્યા છો

એકાઉન્ટ પાસવર્ડ VPN જમાવટમાં ફક્ત એક ઓળખપત્રક છે. કી પાસફ્રેઝ, પ્રમાણપત્ર ઓળખ અને વૈકલ્પિક પીઅર ગુપ્તતા—દરેકનો પોતાનો બદલી માર્ગ અને પોતાનો માલિક છે. એકાઉન્ટ પાસવર્ડ બદલવાથી પ્રમાણપત્રથી પ્રમાણિત થતા ઉપકરણ માટે કંઈ થતું નથી, અને પ્રમાણપત્ર ફરી બહાર પાડવાથી સાચવેલો પાસવર્ડ ધરાવતા ક્લાયન્ટ માટે કંઈ થતું નથી. ઉપાયનું નામ આપતા પહેલાં ગુપ્ત વસ્તુનું નામ આપો.

જો રોટેશન નીતિને બદલે શંકાથી ચાલે છે, તો ઘટના પ્રક્રિયા સુવિધા યોજના પર પ્રાધાન્ય ધરાવે છે. પુરાવા જે માંગે તે રદ કરો અને ઉપકરણ યાદી પરનું વધારાનું કામ સ્વીકારો. એ નિર્ણય ઘટનાના માલિકનો છે, પાસવર્ડ રીસેટ ફોર્મ સંજોગવશાત્ ધરાવતા કોઈનો નહીં.

સાચવેલું મૂલ્ય જ્યાં રહે છે ત્યાં જ બદલો

સેવા જે પ્રક્રિયાનું દસ્તાવેજીકરણ કરે છે તેના દ્વારા ઓળખપત્રક બદલો, પછી સાચવેલી નકલ અપડેટ કરો અથવા તમે રાખવા માગતા દરેક ઉપકરણ પર સાઇન-ઇન પ્રવાહ ચલાવો. જે મેનેજર તેને ફરીથી લખે છે તેની પાછળની જનરેટ કરેલી રૂપરેખા સંપાદિત કરશો નહીં, કારણ કે મેનેજર તેની આગલી આવૃત્તિમાં જૂનું મૂલ્ય પુનઃસ્થાપિત કરે છે અને સંપાદન વિલંબિત નિષ્ફળતા બની જાય છે. મેનેજર જે સ્રોત વાંચે છે તે અપડેટ કરો, અથવા ક્લાયન્ટનો પોતાનો ઓળખપત્રક ભંડાર વાપરો. કોઈ પણ રીતે, ઉપકરણે ક્લાયન્ટ ખરેખર જ્યાં વાંચે છે ત્યાં નવા મૂલ્ય સાથે પૂરું થવું જોઈએ.

પાસવર્ડ ફાઇલ સાચવતા ક્લાયન્ટને ફાઇલ ફરીથી લખાયેલી જોઈએ, જ્યારે પૂછતા ક્લાયન્ટને પૂર્ણ સાઇન-ઇન જોઈએ. NetworkManager જોડાણ પ્રોફાઇલની અંદર ગુપ્તતા રાખે છે, તેથી ફેરફાર ટેક્સ્ટ એડિટરને બદલે nmcli દ્વારા જાય છે:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

ઓળખપત્રક ફાઇલ વાંચતી પ્રોફાઇલ ત્રીજો કિસ્સો છે. તે ફાઇલની સામગ્રી બદલો, તેની પરવાનગીઓ બંધ રાખો, અને તેની તરફ ઇશારો કરતી પ્રોફાઇલ સંપાદિત કરવાને બદલે ક્લાયન્ટ ફરી લોડ કરો. પ્રોફાઇલ બદલાઈ નથી; ફક્ત તે જે ગુપ્તતા વાંચે છે તે બદલાઈ છે.

દરેક ઇચ્છિત ઉપકરણને એક વાર જાણી જોઈને ફરી જોડો અને જુઓ કયા નિષ્ફળ જાય છે. જો ઉપકરણ નિષ્ફળ થવાનું ચાલુ રાખે, તો પાસવર્ડ ફરી બદલતા પહેલાં તે જે એકાઉન્ટ તરફ ઇશારો કરે છે અને જે ભંડાર વાંચે છે તે જુઓ, કારણ કે બીજો ફેરફાર અપડેટ કરવાની નકલોને ગુણકારે છે. બે વાર નિષ્ફળ થતું ઉપકરણ સામાન્ય રીતે ખોટા એકાઉન્ટ તરફ ઇશારો કરે છે અથવા તમે હજી ન શોધી શક્યા હો તેવો ભંડાર વાંચે છે. તે સુધારો, પછી ફરી જોડો.

સત્રો અને ટોકન પાસવર્ડ કરતાં વધુ જીવે છે

પાસવર્ડ બદલવાથી સાબિત થતું નથી કે હાલનાં સત્રો કે અલગ પ્રમાણપત્રો રદ થયાં છે. કેટલીક સેવાઓ સત્રને સમાપ્ત થાય કે સ્પષ્ટપણે બંધ ન થાય ત્યાં સુધી જીવંત રાખે છે, અને બહાર પાડેલા ટોકન પોતાનું આયુષ્ય ધરાવે છે. ફેરફાર વૈશ્વિક હતો એમ ધારવાને બદલે સેવા ખરેખર શું કરે છે તે ચકાસો. જો ફેરફાર શંકાથી પ્રેરાયો હોય, તો સત્રો સ્પષ્ટપણે સમાપ્ત કરો અને પરિણામની પુષ્ટિ કરો.

NIST SP 800-63B માંનું ઓળખપત્રક જીવનચક્ર માર્ગદર્શન પ્રમાણકર્તાઓ અને સત્રોને અલગ શ્રેણીઓમાં રાખે છે, તેથી પાસવર્ડ ફેરફાર અને વૈશ્વિક લૉગ આઉટ ભિન્ન ક્રિયાઓ છે. તેમને બે પૂર્ણતા માપદંડ સાથેનાં બે કાર્યો તરીકે ગણો. પ્રથમ ત્યારે પૂરું થાય છે જ્યારે નવું મૂલ્ય કામ કરે, અને બીજું ત્યારે પૂરું થાય છે જ્યારે જૂનાં સત્રો ચાલ્યાં જાય.

નવો પાસવર્ડ રેકોર્ડમાં લખ્યા વિના પૂર્ણતા નોંધો. જે રોટેશન લોગમાં ઓળખપત્રક હોય તે શેર કરેલી ડ્રાઇવ પર રાહ જોતી નવી ઘટના છે. તારીખ, અપડેટ થયેલાં ઉપકરણો અને હજી બાકી રહેલાં ઉપકરણો નોંધો.