Փոխել VPN գաղտնաբառը՝ չկողպելով բոլոր սարքերը

Երեք հեռախոս, երթուղիչ և մոնիտորինգի մեկ ստուգում դեռ պահում են հին գաղտնաբառը, և դրանցից մեկը նորից միանում է ամեն իննսուն վայրկյանը մեկ։ Հաշվի գաղտնաբառը փոփոխվել է տասը րոպե առաջ, ուստի այդ հաճախորդներից յուրաքանչյուրն այժմ ուղարկում է արժեք, որը սերվերը մերժում է։ Այդ պահին է, որ առասպելը կոտրվում է՝ գաղտնաբառի փոփոխությունը դիպչում է հաշվին, ոչ թե յուրաքանչյուր սարքում նստած հին արժեքի պատճեններին։ Այն, ինչ հաջորդում է, այն աշխատանքն է, որը փոփոխությունը չի կատարել։

Առասպելը՝ մեկ փոփոխություն, ամենուր միաժամանակ

Համոզմունքն այն է, որ գաղտնաբառի փոփոխությունը դուրս է հանում ամեն ինչից և պարտադրում մաքուր նոր մուտք։ Դա այդպես չէ, որովհետև սերվերը հետևում է միայն այն բանին, թե որ վկայականն է վերջինը ընդունել, մինչդեռ հաճախորդները պահում են այն, ինչ պահել են։ Պահված գաղտնաբառով սարքը կրկնում է այն իր ժամանակացույցով և լուռ ձախողվում, մինչև ինչ-որ մեկը նկատի, որ հաշիվը կողպված է։ Երբ ընդունեք, որ պատճենները ապրում են հաշվից դուրս, ռոտացիան այլևս մեկ գործողություն չի թվա։

Այս ամենը չի վիճարկում ռոտացիան։ Այն պաշտպանում է պահված պատճենները որպես փոփոխության մաս դիտարկելը, այլ ոչ թե որպես հետմիտք։ Կողպումը սովորաբար գալիս է զուգահեռ կրկնակի փորձերից. յուրաքանչյուր սարք շարունակում է ուղարկել հին արժեքը իր ժամանակացույցով, մինչև հաշվիչը գործարկվի։ Այդ ժամանակ հաշիվը հարձակված է թվում, մինչդեռ նրան առաջարկվում են միայն վկայականներ, որոնք ոչ ոք չի փոխարինել։ Այդ տարբերությունը կարևոր է, որովհետև լուծումը սարքերի ցանկն է, ոչ թե ավելի խիստ կողպման քաղաքականություն։

Թվարկեք պատճենները մինչ ռոտացիան

Գրեք ցանկը մինչ գաղտնաբառի ձևաթուղթը բացելը։ Թվարկեք յուրաքանչյուր հաճախորդ, սկրիպտ, ավտոմատացում և կառավարվող պրոֆիլ, որը նույնականացվում է որպես այս հաշիվ՝ ինքնուրույն միացող հեռախոսը, երկու տարի առաջ կարգավորված երթուղիչը, նոութբուքը, որը արթնանում է միայն երկուշաբթի, և մոնիտորինգի ստուգումը, որը փորձում է ամեն րոպե։ Յուրաքանչյուրի համար նշեք, թե որտեղ է պահված վկայականը, հասանելի է արդյոք սարքը փոփոխության ընթացքում, և ինչ վերականգնման ուղի կա, եթե այն չի կարող նորից միանալ։ Հենց այդ ցանկն է ռիսկային փոփոխությունը վերածում պլանավորվածի, և այն պետք է գոյություն ունենա նախքան հին գաղտնաբառի դադարելը աշխատելուց։

Առանց ցանցի սարքերը դասական բացթողումն են։ Դարակում գտնվող նոութբուքը վերադառնում է երեք շաբաթ անց և ներկայացնում հնացած արժեքը ամենավատ պահին։ Նշեք նաև դրա տեղը և ժամանակացույցը, որովհետև ստիպված կլինեք հետապնդել այն, այլ ոչ թե սպասել։

Linux նավատորմում որոնումը մեխանիկական է, ոչ խելացի։ Փնտրեք պրոֆիլներ, որոնք հղում են վկայականի ֆայլին, ապա հենց վկայականի ֆայլերը, որովհետև երկրորդ ցանկն է, որ պետք է վերագրվի։ Կրկնեք վարժությունը սեղանադիր հաճախորդների և հեռախոսների համար, որտեղ պահոցը պրոֆիլ է կամ բանալիների շարակցի գրառում, այլ ոչ թե ուղի։ Նպատակը ցանկն է, որով կարող եք աշխատել, ոչ թե սկանավորում, որը պնդում է, թե գտնում է յուրաքանչյուր պատճեն։

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Համեմատեք պատճենները դրանց տերերի հետ։ Սարքը, որը ոչ ոք չի պահանջում, այն սարքն է, որը ոչ ոք չի թարմացնի, և հենց այն է, որ ամենայն հավանականությամբ կշարունակի կրկնակի փորձերը։

Իրականում որ գաղտնիքն եք պտտում

Հաշվի գաղտնաբառը VPN տեղակայման մեջ ընդամենը մեկ վկայական է։ Բանալու գաղտնաբառը, վկայագրի ինքնությունը և ընտրովի գործընկերոջ գաղտնիքը յուրաքանչյուրն ունի իր փոխարինման ուղին և իր տերը։ Հաշվի գաղտնաբառի փոփոխությունը ոչինչ չի անում վկայագրով նույնականացող սարքի համար, իսկ վկայագրի վերաթողարկումը ոչինչ չի անում պահված գաղտնաբառ ունեցող հաճախորդի համար։ Անվանեք գաղտնիքը նախքան լուծումը անվանելը։

Եթե ռոտացիան պայմանավորված է կասկածով, այլ ոչ քաղաքականությամբ, միջադեպի գործընթացը գերազանցում է հարմարավետության պլանին։ Չեղարկեք այն, ինչ պահանջում են ապացույցները, և ընդունեք լրացուցիչ աշխատանքը սարքերի ցանկում։ Այդ որոշումը պատկանում է միջադեպի տիրոջը, ոչ թե նրան, ով պատահաբար ձեռքին ունի գաղտնաբառի վերականգնման ձևաթուղթը։

Փոխարինեք պահված արժեքը այնտեղ, որտեղ այն ապրում է

Փոխեք վկայականը այն մեխանիզմով, որը փաստաթղթավորում է ծառայությունը, ապա թարմացրեք պահված պատճենը կամ գործարկեք մուտքի հոսքը յուրաքանչյուր սարքում, որը մտադիր եք պահել։ Մի խմբագրեք գեներացված կարգավորումը դրա վերագրող կառավարչի հետևում, որովհետև կառավարիչը հաջորդ գործարկման ժամանակ վերականգնում է ավելի հին արժեքը, և խմբագրումը դառնում է հետաձգված խափանում։ Թարմացրեք այն աղբյուրը, որը կարդում է կառավարիչը, կամ օգտագործեք հաճախորդի սեփական վկայականների պահոցը։ Ամեն դեպքում սարքը պետք է ավարտվի նոր արժեքով այն տեղում, որտեղ հաճախորդն իրականում կարդում է։

Գաղտնաբառի ֆայլ պահող հաճախորդին անհրաժեշտ է վերագրված ֆայլ, մինչդեռ հարցնող հաճախորդին անհրաժեշտ է ավարտված մուտք։ NetworkManager-ը գաղտնիքը պահում է կապի պրոֆիլի ներսում, ուստի փոփոխությունն անցնում է nmcli-ով, ոչ թե տեքստային խմբագրիչով:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Վկայականի ֆայլ կարդացող պրոֆիլը երրորդ դեպքն է։ Փոխարինեք այդ ֆայլի բովանդակությունը, պահեք դրա թույլտվությունները փակ և վերաբեռնեք հաճախորդը՝ դրան հղող պրոֆիլը խմբագրելու փոխարեն։ Պրոֆիլը չփոփոխվեց. փոփոխվեց միայն այն գաղտնիքը, որը նա կարդում է։

Նորից միացրեք յուրաքանչյուր նախատեսված սարք մեկ անգամ՝ գիտակցաբար, և տեսեք, թե որոնք են ձախողվում։ Եթե սարքը շարունակում է ձախողվել, նայեք այն հաշվին, որին այն հղում է, և այն պահոցին, որը կարդում է, նախքան գաղտնաբառը կրկին փոխելը, որովհետև երկրորդ փոփոխությունը բազմապատկում է թարմացման ենթակա պատճենները։ Երկու անգամ ձախողվող սարքը սովորաբար հղում է սխալ հաշվին կամ կարդում է պահոց, որը դեռ չեք գտել։ Ուղղեք դա, ապա նորից միացեք։

Նստաշրջաններն ու նշանները ապրում են գաղտնաբառից ավելի երկար

Գաղտնաբառի փոփոխությունը չի ապացուցում, որ գոյություն ունեցող նստաշրջանները կամ առանձին վկայագրերը չեղարկվել են։ Որոշ ծառայություններ նստաշրջանը կենդանի են պահում մինչև այն սպառվի կամ բացահայտ դադարեցվի, իսկ թողարկված նշաններն ունեն իրենց կյանքի տևողությունը։ Ստուգեք, թե ինչ է իրականում անում ծառայությունը՝ փոխարենը ենթադրելու, որ փոփոխությունը գլոբալ էր։ Եթե փոփոխությունը պայմանավորված էր կասկածով, բացահայտ դադարեցրեք նստաշրջանները և հաստատեք արդյունքը։

NIST SP 800-63B-ի վկայականների կյանքի ցիկլի ուղեցույցը նույնականացնողներին և նստաշրջանները պահում է առանձին կատեգորիաներում, ինչի պատճառով գաղտնաբառի փոփոխությունը և գլոբալ ելքը տարբեր գործողություններ են։ Վերաբերվեք դրանց որպես երկու առաջադրանք՝ երկու ավարտի չափանիշով։ Առաջինն ավարտվում է, երբ նոր արժեքը աշխատում է, իսկ երկրորդը՝ երբ հին նստաշրջանները վերացել են։

Գրանցեք ավարտը՝ չգրելով նոր գաղտնաբառը գրառման մեջ։ Ռոտացիայի մատյանը, որը պարունակում է վկայականը, նոր միջադեպ է, որը սպասում է ընդհանուր սկավառակի վրա։ Նշեք ամսաթիվը, թարմացված սարքերը և դեռ մնացած սարքերը։