Skipta um VPN-lykilorð án að læsa öll tæki út

Þrír símar, beinir og ein vöktunarprufa halda enn gamla lykilorðinu, og einn þeirra tengist aftur á níutíu sekúndna fresti. Lykilorð reikningsins var breytt fyrir tíu mínútum, svo hver þessara biðlara sendir nú gildi sem þjónninn hafnar. Það er augnablikið þegar goðsögnin brestur: lykilorðsbreyting snertir reikninginn, ekki afritin af gamla gildinu sem sitja í hverju tæki. Það sem fylgir er vinna sem breytingin vann ekki.

Goðsögnin: ein breyting, alls staðar í einu

Trúin er sú að lykilorðsbreyting skrái allt út og þvingi hreina nýja innskráningu. Svo er ekki, því þjónninn fylgist aðeins með því hvaða skilríki hann samþykkti síðast, á meðan biðlararnir halda því sem þeir geymdu. Tæki með geymt lykilorð reynir það aftur samkvæmt eigin áætlun og mistekst hljóðlega þar til einhver tekur eftir að reikningurinn er læstur. Þegar þú samþykkir að afritin lifi utan reikningsins hættir snúningur að líta út eins og ein aðgerð.

Ekkert af þessu talar gegn snúningi. Það talar fyrir því að meðhöndla geymdu afritin sem hluta breytingarinnar en ekki eftirhugsaða hugsun. Útlæsing kemur venjulega frá samhliða endurtekningum: hvert tæki heldur áfram að senda gamla gildið samkvæmt eigin áætlun þar til teljarinn fer af stað. Þá virðist reikningurinn ráðinn en er bara boðið skilríki sem enginn skipti um. Sá munur skiptir máli, því lausnin er listi yfir tæki en ekki strangari útlæsingarstefna.

Gerðu lista yfir afritin áður en þú snýr

Skrifaðu listann áður en þú opnar lykilorðsformið. Skráðu hvern biðlara, skriftu, sjálfvirkni og stýrt snið sem auðkennir sig sem þennan reikning: símann sem tengist sjálfur, beininn sem var stilltur fyrir tveimur árum, fartölvuna sem vaknar aðeins á mánudögum, og vöktunarprufuna sem reynir á hverri mínútu. Fyrir hvert þeirra skaltu skrá hvar skilríkið er geymt, hvort hægt sé að ná í tækið meðan á breytingunni stendur og hvaða endurheimtarleið er til ef það getur ekki tengst aftur. Þessi listi er það sem breytir áhættusamri breytingu í skipulagða, og hann verður að vera til áður en gamla lykilorðið hættir að virka.

Ótengd tæki eru hinn klassíski yfirsjón. Fartölva í skúffu kemur aftur þremur vikum síðar og leggur fram úrelt gildi á versta mögulega augnabliki. Skráðu einnig staðsetningu hennar og áætlun, því þú verður að elta hana í stað þess að bíða eftir henni.

Í Linux-flota er leitin vélræn frekar en klár. Leitaðu að sniðum sem vísa á skilríkjaskrá, síðan að skilríkjaskránum sjálfum, því seinni listinn er sá sem þarf að endurskrifa. Endurtaktu æfinguna fyrir skjáborðsbiðlara og síma, þar sem geymslan er snið eða lyklakippufærsla en ekki slóð. Markmiðið er listi sem þú getur unnið þig í gegnum, ekki skönnun sem segist finna hvert afrit.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Mældu afritin gegn fólkinu sem á þau. Tæki sem enginn gerir tilkall til er tæki sem enginn mun uppfæra, og það er líka það sem líklegast er að halda áfram endurtekningum.

Hvaða leyndarmáli þú ert í raun að snúa

Lykilorð reiknings er aðeins eitt skilríki í VPN-uppsetningu. Lykilsetning, skilríkjastaða vottorðs og valfrjálst leyndarmál jafningja hafa hvert sína skiptileið og sinn eiganda. Að skipta um lykilorð reikningsins gerir ekkert fyrir tæki sem auðkennir sig með vottorði, og að endurútgefa vottorð gerir ekkert fyrir biðlara með geymt lykilorð. Nefndu leyndarmálið áður en þú nefnir lausnina.

Ef snúningurinn er knúinn grun en ekki stefnu gengur atviksferlið framar þægindaáætluninni. Afturkallaðu það sem sönnunargögnin krefjast og samþykktu aukavinnuna á tækalistanum. Þessi ákvörðun tilheyrir eiganda atviksins, ekki þeim sem hendir lykilorðsendaþurrkunareyðublaðinu.

Skiptu um geymda gildið þar sem það býr

Breyttu skilríkinu með þeirri aðferð sem þjónustan skjalfestir, uppfærðu síðan geymda afritið eða keyrðu innskráningarflæðið á hverju tæki sem þú ætlar að halda. Ekki breyta mynduðu stillingunni bak við stjóra sem endurskrifar hana, því stjórinn endurheimtir eldra gildið í næstu keyrslu og breytingin verður seinkað bilun. Uppfærðu upprunann sem stjórinn les, eða notaðu eigin skilríkjageymslu biðlarans. Hvað sem er, tækið verður að enda með nýja gildið á þeim stað sem biðlarinn les í raun.

Biðlari sem geymir lykilorðsskrá þarf endurskrifaða skrá, en biðlari sem spyr þarf fullkláraða innskráningu. NetworkManager heldur leyndarmálinu inni í tengingarsniðinu, svo breytingin fer um nmcli en ekki textaritil:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Snið sem les skilríkjaskrá er þriðja tilfellið. Skiptu um innihald þeirrar skrár, hafðu heimildir hennar lokaðar og endurhladdu biðlarann í stað þess að breyta sniðinu sem vísar á hana. Sniðið breyttist ekki; aðeins leyndarmálið sem það les breyttist.

Tengdu hvert tilætlað tæki aftur einu sinni, viljandi, og fylgstu með hver mistakast. Ef tæki heldur áfram að mistakast skaltu skoða reikninginn sem það vísar á og geymsluna sem það les áður en þú skiptir um lykilorð aftur, því önnur breyting margfaldar afritin sem þarf að uppfæra. Tæki sem mistekst tvisvar vísar venjulega á rangan reikning eða les geymslu sem þú hefur ekki fundið enn. Lagaðu það og tengdu svo aftur.

Lotur og tákn lifa lykilorðinu lengur

Lykilorðsbreyting sannar ekki að núverandi lotum eða aðskildum vottorðum hafi verið eytt. Sumar þjónustur halda lotu lifandi þar til hún rennur út eða er stöðvuð skýlaus, og útgefin tákn bera eigin líftíma. Athugaðu hvað þjónustan gerir í raun í stað þess að gera ráð fyrir að breytingin hafi verið alheims. Ef breytingin var knúin grun skaltu stöðva loturnar skýlaus og staðfesta niðurstöðuna.

Leiðbeiningar um lífsferil skilríkja í NIST SP 800-63B halda auðkenningum og lotum í aðskildum flokkum, og þess vegna eru lykilorðsbreyting og alheimsútskráning mismunandi aðgerðir. Meðhöndlaðu þær sem tvö verkefni með tveimur lokaviðmiðum. Fyrra er lokið þegar nýja gildið virkar, og seinna er lokið þegar gömlu loturnar eru horfnar.

Skráðu lokið án þess að skrifa nýja lykilorðið í skrána. Snúningslogg sem inniheldur skilríkið er nýtt atvik sem bíður á sameiginlegri diski. Skráðu dagsetninguna, uppfærðu tækin og tækin sem enn standa út af.