Flytja VPN-auðkenningarbakenda án þess að endurnýta gömlu hassana

Notendanöfn birtast í nýju skránni, flutningurinn er lýstur lokið, og innskráningar mistakast samt. Gáttin þarf enn studda auðkenningarleið og rétta heimildarniðurstöðu, og hvorugt leiðir af skrá sem nú inniheldur reikningana. Flutningur bakenda er skipti með lífsferil, ekki afritunarverk. Einkennið hér að neðan er það sem venjulega afhjúpar muninn.

Einkennið: reikningar til, lotur ekki

Nýja skráin inniheldur hvert notendanafn, prófunarbinding heppnast, og VPN-biðlarinn skilar enn auðkenningarvillu. Þessi samsetning þýðir að auðkennið er til, en auðkenningarleiðin sem gáttin notar nær því ekki, eða nær því með aðferð sem hún getur ekki uppfyllt. Bæði er stilling, og þetta eru ólík vandamál.

Hið fyrra er kapaltenging: gáttin vísar á bakenda sem svarar ekki, notar sameiginlegt leyndarmál sem hin hliðin á ekki von á, eða biður um eigindi sem nýja þjónustan skilar ekki. Hið síðara er dulmálsfræðilegt: aðferðin krefst upprunalega leyndarmálsins, og nýja geymslan hefur aðeins hass af því. Villutextinn lítur svipaður út í báðum tilvikum, og þess vegna eru þau meðhöndluð sem eitt vandamál.

Að aðgreina þau tvö áður en reikningar eru snertir sparar viku. Annað er spurning um leiðsögn og traust, hitt er ákvörðun um að endurstilla skilríki, og að blanda þeim saman framleiðir breytingar sem enginn getur rakið.

Kortlegðu ferlið áður en einhver er fluttur

Skrifaðu niður sex atriði fyrir hvert biðlarasnið: ytra auðkenningaraðferðina, hugsanlega innri aðferð, netþjónsauðkennið sem biðlarinn á von á, viðmótið milli gáttar og bakenda, eigindið sem gáttin varpar á hópmeðlimsskap, og auðlindastefnuna sem af því leiðir. Að lesa þau í röð sýnir hvaða hlekk enginn á. Hvert atriði hefur eiganda, og skiptin mistakast á því sem enginn athugaði.

Venjuleg skráinnskráning prófar nánast ekkert af því ferli. Hún sannar að reikningurinn er til og að lykilorðið virkar, sem er einmitt sá hluti sem aldrei var dreginn í efa.

Hassar ferðast ekki milli aðferða

Samhæfni skilríkja verður að athuga einu sinni, áður en einhver hópur flyst. FreeRADIUS skjalfestir skiptinguna skýrt: CHAP-prófun sem netþjónninn framkvæmir sjálfur þarf raunverulega lykilorðið, og MS-CHAP samþykkir það lykilorð eða hæfilegt NT-efni. Hass sem búinn er til í öðrum tilgangi passar við hvorki annað tilvikið, hversu sterkt sem það er.

Munurinn snýst um hver reiknar sönnunina. Aðferð sem staðfestir með því að binda sig við skrána lætur skrána athuga það sem hún getur athugað. Aðferð sem staðfestir með því að endurreikna áskorunarsvar þarf leyndarmálið sjálft, því netþjónninn verður að framkvæma sömu útreikningana.

Þar sem efnið vantar eru heiðarlegu valkostirnir studd endurstilling, endurskráning, ytri staðfestingarþjónusta eða aðferðaskipti. Tímabundin útflutningur á endurheimtanlegum lykilorðum er ekki á þeim lista. Hann skapar geymslu skilríkja í hreinum texta á kaótískustu viku verkefnisins, og hann lifir venjulega flutninginn af.

Prufuhópur, síðan breytingar á lífsferli

Flyttu lítinn hóp samþykktra auðkenna með raunverulega biðlinum, og prófaðu fjögur atriði: nýja innskráningu, viljandi rangt skilríki, auðlindirnar sem lotan má ná og auðlindirnar sem hún má ekki ná. Athugaðu líka netþjónsauðkennið sem biðlarinn samþykkti, því misræmi í skírteinisheiti er ósýnilegt þar til einhver les biðlaralogginn.

Prófaðu síðan breytingarnar sem uppsetningin raunverulega byggir á. Skiptu um lykilorð, endurnýjaðu eða skráðu skírteini aftur, og fjarlægðu aðgang frá einum prufureikningi. Staðfestu eftir hverja hvaða sannprófandi annaðist tilraunina, því lót sem var búin til fyrir skiptin getur haldið áfram að virka og sannar ekkert um næstu innskráningu.

Aðskildu afhendingu sniðs frá auðkennisskiptunum. Hver hópur þarf ætlað snið sitt, stöðu sína fyrir skilríki eða skráningu, auðkenningarþjónustuna sem hann á að nota og tengilið í þjónustuveri, og engin þessara gagna má innihalda leyndarmál.

Ef gamlar og nýjar leiðir lifa saman skaltu afmarka þær með lokadagsetningu. Sjálfvirk afturhvarf getur hleypt reikningi inn með gömlu skilríki eftir að nýi eigandinn hefur fjarlægt aðganginn, og það er öryggisafturför í gervi tiltækileika.

Afturköllun getur ekki endurheimt skilríki

Að snúa skiptunum við skilur skrána eftir nákvæmlega eins og hún stendur núna. Endurstillt lykilorð helst endurstillt, afturkallað skírteini helst afturkallað, og breytt snið skilríkja helst breytt. Þetta eru atburðir í skránni, og gáttin var aldrei uppspretta þeirra. Endurheimt verður að skilgreina fyrir hvern atburð, og ekkert af því má byggja á að endurgera leyndarmál úr ósamhæfu hassi.

Haltu úti stjórnunarleið sem notar ekki tenginguna sem er flutt. Þegar nýja auðkenningin mistekst skaltu stöðva hópinn og nota skjalfesta endurheimtarleið hans í stað þess að veikja auðkenningu fyrir alla til að halda skiladag.

Þegar hóparnir eru komnir inn skaltu loka gömlu bakendaskilríkjunum, sniðunum og trauststengslunum í gegnum eigendur þeirra. Staðfestu að gamla leiðin hleypi ekki lengur notendum inn, og haltu því ekki-leyndarmáli varðandi vörpun auðkennis í stefnu sem þjónustuverið þarf enn. Flutningi er lokið þegar nýi lífsferillinn virkar og enginn kemst lengur inn um gömlu leiðina, ekki þegar reikningalistinn virðist fullkominn.