VPN-jelszó cseréje anélkül, hogy minden eszközt kizárnánk

Három telefon, egy útválasztó és egy megfigyelési ellenőrzés még mindig a régi jelszót tartja, és egyikük kilencven másodpercenként újracsatlakozik. A fiók jelszava tíz perce változott, így e kliensek mindegyike most olyan értéket küld, amelyet a kiszolgáló elutasít. Ekkor törik meg a mítosz: a jelszóváltozás a fiókot érinti, nem a régi érték minden eszközön ülő másolatait. Ami ezután következik, az a munka, amelyet a változás nem végzett el.

A mítosz: egy változtatás, mindenhol egyszerre

A hit szerint a jelszóváltozás mindent kijelentkeztet, és tiszta új bejelentkezést kényszerít ki. Ez nem így van, mert a kiszolgáló csak azt követi, melyik hitelesítő adatot fogadta el utoljára, a kliensek pedig megtartják, amit elmentettek. A mentett jelszóval rendelkező eszköz a saját ütemezése szerint újrapróbálja, és csendben meghiúsul, amíg valaki észre nem veszi, hogy a fiók zárolva van. Amint elfogadjuk, hogy a másolatok a fiókon kívül élnek, a rotáció már nem tűnik egyetlen műveletnek.

Mindezt semmi sem szól a rotáció ellen. Inkább amellett szól, hogy a mentett másolatokat a változás részeként kezeljük, ne utólagos gondolatként. A zárolás általában párhuzamos újrapróbálkozásokból ered: minden eszköz a saját ütemezése szerint küldi tovább a régi értéket, amíg a számláló ki nem old. Ilyenkor a fiók megtámadottnak látszik, pedig csak olyan hitelesítő adatokat kínálnak neki, amelyeket senki nem cserélt ki. Ez a különbség számít, mert a megoldás eszközök listája, nem szigorúbb zárolási szabályzat.

A rotáció előtt készítsen leltárt a másolatokról

Írja meg a leltárt, mielőtt megnyitja a jelszó űrlapot. Soroljon fel minden klienst, szkriptet, automatizálást és felügyelt profilt, amely e fiókként hitelesít: a telefon, amely magától kapcsolódik, a két évvel ezelőtt beállított útválasztó, a laptop, amely csak hétfőn ébred, és a megfigyelési ellenőrzés, amely percenként próbálkozik. Mindegyiknél jegyezze fel, hol tárolják a hitelesítő adatot, elérhető-e az eszköz a változtatás alatt, és milyen helyreállítási útvonal létezik, ha nem tud újracsatlakozni. Ez a lista teszi a kockázatos változtatást tervezetté, és léteznie kell, mielőtt a régi jelszó működése megszűnik.

Az offline eszközök a klasszikus mulasztás. Egy fiókban lévő laptop három hét múlva visszatér, és a legrosszabb pillanatban mutatja be az elavult értéket. Jegyezze fel a helyét és az ütemezését is, mert utána kell mennie, nem pedig megvárnia.

Linux-flotta esetén a keresés mechanikus, nem okos. Keressen olyan profilokat, amelyek hitelesítőadat-fájlra hivatkoznak, majd magukat a hitelesítőadat-fájlokat, mert a második lista az, amelyet újra kell írni. Ismételje meg a gyakorlatot asztali kliensekre és telefonokra, ahol a tároló profil vagy kulcstartó-bejegyzés, nem pedig útvonal. A cél egy feldolgozható lista, nem olyan vizsgálat, amely azt állítja, hogy minden másolatot megtalál.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Mérje össze a másolatokat azokkal az emberekkel, akik birtokolják őket. Az az eszköz, amelyet senki nem tart igénybe, olyan eszköz, amelyet senki nem frissít, és ez az, amelyik a legvalószínűbben folytatja az újrapróbálkozást.

Melyik titkot rotálja valójában

A fiók jelszava csak egyetlen hitelesítő adat egy VPN-telepítésben. A kulcs jelmondata, a tanúsítvány identitása és az opcionális partneri titok mindegyikének saját csereútvonala és saját tulajdonosa van. A fiók jelszavának módosítása semmit nem tesz egy tanúsítvánnyal hitelesítő eszközért, a tanúsítvány újrakibocsátása pedig semmit nem tesz egy mentett jelszót tartó kliensért. Nevezze meg a titkot, mielőtt megnevezi a megoldást.

Ha a rotációt gyanú vezérli, nem szabályzat, akkor az incidensfolyamat megelőzi a kényelmi tervet. Vonja vissza, amit a bizonyítékok megkövetelnek, és fogadja el a többletmunkát az eszközlistán. Ez a döntés az incidens tulajdonosáé, nem azé, akinek épp a jelszó-visszaállítási űrlap van a kezében.

Cserélje ki a mentett értéket ott, ahol él

Módosítsa a hitelesítő adatot a szolgáltatás által dokumentált mechanizmuson keresztül, majd frissítse a mentett másolatot, vagy futtassa a bejelentkezési folyamatot minden megtartani kívánt eszközön. Ne szerkesszen generált konfigurációt olyan kezelő mögött, amely újraírja azt, mert a kezelő a következő futáskor visszaállítja a régebbi értéket, és a szerkesztés késleltetett hibává válik. Frissítse a kezelő által olvasott forrást, vagy használja a kliens saját hitelesítőadat-tárolóját. Akárhogy is, az eszköznek a végén az új értéket kell tartalmaznia azon a helyen, ahonnan a kliens valóban olvas.

A jelszófájlt tároló kliensnek újraírt fájlra van szüksége, míg a kérdező kliensnek befejezett bejelentkezésre. A NetworkManager a kapcsolatprofilban tartja a titkot, ezért a változtatás nmcli-n keresztül megy, nem szövegszerkesztőn:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

A hitelesítőadat-fájlt olvasó profil a harmadik eset. Cserélje ki a fájl tartalmát, tartsa zárva az engedélyeit, és töltse újra a klienst ahelyett, hogy a rá hivatkozó profilt szerkesztené. A profil nem változott; csak a titok, amelyet olvas.

Csatlakoztassa újra minden szándékolt eszközt egyszer, szándékosan, és figyelje, melyek hibáznak. Ha egy eszköz továbbra is hibázik, nézze meg a fiókot, amelyre mutat, és a tárolót, amelyet olvas, mielőtt újra módosítaná a jelszót, mert egy második változtatás megsokszorozza a frissítendő másolatokat. Egy eszköz, amely kétszer hibázik, általában rossz fiókra mutat, vagy olyan tárolót olvas, amelyet még nem talált meg. Javítsa ki, majd csatlakozzon újra.

A munkamenetek és a tokenek túlélik a jelszót

A jelszó megváltoztatása nem bizonyítja, hogy a meglévő munkameneteket vagy a külön tanúsítványokat visszavonták. Egyes szolgáltatások életben tartják a munkamenetet, amíg az le nem jár vagy kifejezetten meg nem szüntetik, a kiadott tokenek pedig saját élettartamot hordoznak. Ellenőrizze, mit tesz valójában a szolgáltatás, ahelyett hogy feltételezné, a változás globális volt. Ha a változást gyanú vezérelte, fejezze be a munkameneteket kifejezetten, és erősítse meg az eredményt.

A NIST SP 800-63B hitelesítő adatok életciklusára vonatkozó útmutatása külön kategóriákban tartja a hitelesítőket és a munkameneteket, ezért a jelszóváltoztatás és a globális kijelentkezés különböző műveletek. Két feladatként kezelje őket, két befejezési feltétellel. Az első akkor kész, amikor az új érték működik, a második pedig akkor, amikor a régi munkamenetek eltűntek.

Rögzítse a befejezést anélkül, hogy az új jelszót beírná a nyilvántartásba. A hitelesítő adatot tartalmazó rotációs napló új incidens, amely megosztott meghajtón vár. Jegyezze fel a dátumot, a frissített eszközöket és a még hátralévő eszközöket.