Læstur úti af VPN-endurtökulúppu: stöðvaðu biðlarann fyrst

Klukkan 02:40 lokast reikningurinn og enginn er við lyklaborðið. Biðlari á hillu heldur áfram að leggja fram lykilorðið sem hann geymdi í síðasta mánuði, hliðið heldur áfram að hafna því, og teljarinn bak við lokunina hækkar án þess að nokkur maður komi við sögu. Þetta er endurtökulúppa en ekki árás, og stöðva verður hana áður en hægt er að endurheimta reikninginn.

Meðhöndlaðu þetta sem tvö vandamál í föstum röð. Stöðvaðu sendandann fyrst og endurheimtu síðan aðganginn, því hin röðin endurræsir lúppuna innan nokkurra mínútna.

Finndu hvaða ferli sendir bilanirnar

Byrjaðu á tímastimplunum í auðkenniskerfinu og bera þá saman við hvern þann biðlara sem hefur reikninginn. Stýrð prófíll, þjónusta án eftirlits, sími í skúffu og varavafari tölva með gömul auðkenni geta öll auðkennt sig sem sama manneskjan. Sá sem mistekst á hverjum nokkrum sekúndum er lúppan, og sá sem mistekst einu sinni á dag er venjulega maður sem gleymdi. Báðir næra sama teljarann, og þar er gildran.

Greindu höfnun frá óaðgengilegu hliði á meðan þú horfir. Tímamörk, bilun í nafnaupplausn eða lokuð gátt hækka yfirleitt ekki bilanateljarann, en fullklárað auðkenningarskipti sem skilar niðurstöðu um slæm auðkenni hækkar hann. Að blanda þessu saman gefur ranga viðgerð, því annað krefst þess að biðlarinn sé stöðvaður og hitt að leiðin sé lögfærð.

Þrjú skilyrði sem ráða viðbrögðunum

Þrjár staðreyndir þrengja þetta að einu svari. Í fyrsta lagi hvort skráin sýnir skýra höfnun eða flutningsbilun. Í öðru lagi hvort auðkennið er sameiginlegt milli tækja eða þjónustu. Í þriðja lagi hvort biðlarinn sem reynir aftur sé einn sem þú stýrir eða einn sem einhver annar stjórnar.

Skýr höfnun frá einum biðlara sem þú stýrir þýðir að stöðva þann biðlara, opna lokunina eftir samþykktri leið og gera eina viljandi innskráningu. Sameiginlegt auðkenni ýtir svarinu í átt að úthlutun frekar en opnun, því lúppan heldur áfram á þeirri stundu sem hitt tækið tengist aftur. Flutningsbilanir benda á netlagið, þar sem vernd reikningsins er alls ekki málið.

Engin þessara greina felur í sér að veikja verndina. Lokunarmörk og hraðatakmarkanir eru til vegna þess að sama merkið sem pirrar þig í truflun er merkið sem hægir á tilraun til að giska á lykilorð.

Stöðvaðu sendandann áður en þú opnar

Stöðvaðu eininguna eða tenginguna sem heldur áfram að auðkenna, og stöðvaðu hana þannig að hún standist endurræsingu. Að setja biðlarann á bið er ekki nóg þegar þjónusta hans er stillt til að hefjast sjálfkrafa við ræsingu.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Bíddu í nokkrar mínútur og staðfestu að bilanateljarinn hætti að hreyfast. Sú bið er sönnunin fyrir að þú hafir fundið rétta uppsprettu. Ef bilanirnar halda áfram kemur lúppan annars staðar frá og lokunarþrepið hefði verið ónýtt.

Aðeins þá skaltu nota skjalfest endurheimtar- eða lokunarferli rekstraraðilans og fylgja því með nákvæmlega einni stýrðri innskráningu frá tækinu sem þú ætlar að halda. Nákvæm mörk, kælitímar og orðalag endurheimtar eru þjónustusértæk, svo lestu þau í stað þess að giska á tölu.

Fjarlægðu orsökina svo hún komi ekki aftur

Uppfærðu geymdu auðkennin þar sem þau eru í eigu: í lyklakippu stýrikerfisins, í biðlaraprófílnum eða í stillingum þjónustureikningsins. Að hreinsa þau á einum stað á meðan annar geymir afrit er leiðin sem lúppan kemur aftur viku síðar, venjulega þegar fartölva sem var ótengd kemur aftur og spilar geymda gildið sitt.

Gefðu sjálfvirkninni eigin auðkenni. Reikningur sem úthlutað er sérstaklega með eigin auðkenni og eigin mörkum kemur í veg fyrir að vélarbilun læsi mann úti frá tölvupósti, og gerir bilunina rekjanlega í annálunum. Bættu við bakslagi á biðlarann svo hafnað auðkenni stöðvi endurtökurnar í stað þess að endurtaka þær, og settu viðvörun á endurteknar auðkenningarbilanir svo næsta lúppa verði tekin eftir innan mínútna en ekki klukkan 02:40.

Þegar skýrslan fer til stuðnings skaltu halda reikningsauðkenninu, tímastimplunum og nafni biðlarans. Lykilorð og endurheimtuefni eiga aldrei heima í þeirri skrá.