Terkunci karena putaran percobaan ulang VPN: hentikan klien lebih dulu

Pukul 02:40 akun terkunci dan tidak ada orang di depan papan ketik. Sebuah klien di rak terus menyodorkan kata sandi yang disimpannya bulan lalu, gerbang terus menolaknya, dan penghitung di balik penguncian naik tanpa keterlibatan manusia. Ini putaran percobaan ulang, bukan serangan, dan harus dihentikan sebelum akun dapat dipulihkan.

Perlakukan sebagai dua masalah dengan urutan tetap. Hentikan pengirimnya dahulu, lalu pulihkan akses, karena urutan sebaliknya memulai ulang putaran itu dalam beberapa menit.

Temukan proses mana yang mengirim kegagalan

Mulailah dari stempel waktu di sistem identitas dan cocokkan dengan setiap klien yang memegang akun. Profil terkelola, layanan tanpa pengawasan, telepon di laci, dan laptop cadangan dengan kredensial lama semuanya dapat melakukan autentikasi sebagai orang yang sama. Yang gagal setiap beberapa detik adalah putarannya, dan yang gagal sekali sehari biasanya manusia yang lupa. Keduanya memberi makan penghitung yang sama, dan di situlah jebakannya.

Bedakan penolakan dari gerbang yang tak terjangkau saat Anda memeriksa. Waktu tunggu habis, kegagalan resolusi nama, atau porta tertutup biasanya tidak menaikkan penghitung kegagalan, sedangkan pertukaran autentikasi yang tuntas dan mengembalikan hasil kredensial buruk menaikkannya. Mencampur keduanya menghasilkan perbaikan yang salah, karena yang satu menuntut klien dihentikan dan yang lain menuntut jalurnya diperbaiki.

Tiga kondisi yang menentukan respons

Tiga fakta menyempitkan ini menjadi satu jawaban. Pertama, apakah catatan menunjukkan penolakan eksplisit atau kegagalan transportasi. Kedua, apakah identitas dibagi antar perangkat atau layanan. Ketiga, apakah klien yang mencoba ulang adalah yang Anda kelola atau yang dikendalikan orang lain.

Penolakan eksplisit dari satu klien yang Anda kendalikan berarti hentikan klien itu, buka kunci melalui jalur yang disetujui, dan lakukan satu login yang disengaja. Identitas bersama mendorong jawabannya ke arah penyediaan alih-alih pembukaan kunci, karena putaran akan berlanjut begitu perangkat lain tersambung lagi. Kegagalan transportasi mengarah ke lapisan jaringan, tempat perlindungan akun sama sekali bukan persoalannya.

Tidak satu pun cabang itu melibatkan pelemahan perlindungan. Ambang penguncian dan batas laju ada karena sinyal yang sama yang mengganggu Anda saat gangguan adalah sinyal yang memperlambat upaya menebak kata sandi.

Hentikan pengirim sebelum membuka kunci

Hentikan unit atau koneksi yang terus melakukan autentikasi, dan hentikan dengan cara yang bertahan setelah boot ulang. Menjeda klien tidak cukup ketika layanannya diatur untuk mulai otomatis saat boot.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Tunggu beberapa menit dan pastikan penghitung kegagalan berhenti bergerak. Jeda itu adalah bukti bahwa Anda menemukan sumber yang benar. Jika kegagalan berlanjut, putarannya datang dari tempat lain dan langkah pembukaan kunci akan sia-sia.

Baru setelah itu gunakan proses pembukaan kunci atau pemulihan terdokumentasi dari operator, dan ikuti dengan tepat satu login terkendali dari perangkat yang ingin Anda pertahankan. Ambang pasti, periode pendinginan, dan kata-kata pemulihan bersifat khusus layanan, jadi bacalah alih-alih menebak angka.

Hilangkan penyebabnya agar tidak kembali

Perbarui kredensial tersimpan di tempat ia dimiliki: di keyring sistem operasi, di profil klien, atau di konfigurasi akun layanan. Menghapusnya di satu tempat sementara tempat lain menyimpan salinan adalah cara putaran itu kembali seminggu kemudian, biasanya ketika laptop yang tadinya luring menyala lagi dan memutar ulang nilai tersimpan.

Beri otomatisasi identitasnya sendiri. Akun yang disediakan terpisah dengan kredensial dan batasnya sendiri mencegah kegagalan mesin mengunci orang dari surel, dan membuat kegagalan itu dapat diatribusikan di log. Tambahkan mundur pada klien agar kredensial yang ditolak menghentikan percobaan ulang alih-alih mengulanginya, dan pasang alarm pada kegagalan autentikasi berulang agar putaran berikutnya diketahui dalam beberapa menit, bukan pada pukul 02:40.

Ketika laporan dikirim ke dukungan, simpan pengenal akun, stempel waktu, dan nama klien. Kata sandi dan materi pemulihan tidak pernah boleh ada dalam catatan itu.