VPN-ის პაროლის შეცვლა ყველა მოწყობილობის ჩაკეტვის გარეშე

სამი ტელეფონი, მარშრუტიზატორი და ერთი მონიტორინგის შემოწმება ჯერ კიდევ ინახავს ძველ პაროლს, და მათგან ერთი ყოველ ოთხმოცდაათ წამში ხელახლა უკავშირდება. ანგარიშის პაროლი ათი წუთის წინ შეიცვალა, ამიტომ თითოეული ეს კლიენტი ახლა აგზავნის მნიშვნელობას, რომელსაც სერვერი უარყოფს. სწორედ მაშინ ირღვევა მითი: პაროლის შეცვლა ანგარიშს ეხება, არა ძველი მნიშვნელობის ასლებს თითოეულ მოწყობილობაზე. რაც შემდეგ მოდის, ის სამუშაოა, რომელიც ცვლილებამ არ შეასრულა.

მითი: ერთი ცვლილება, ყველგან ერთდროულად

რწმენა არის, რომ პაროლის შეცვლა ყველაფერს გასვლას უკეთებს და სუფთა ხელახალ შესვლას აიძულებს. ასე არ არის, რადგან სერვერი მხოლოდ იმას ადევნებს თვალს, თუ რომელი სერთიფიკატი მიიღო ბოლოს, ხოლო კლიენტები ინახავენ იმას, რაც შეინახეს. შენახული პაროლის მქონე მოწყობილობა მას საკუთარი განრიგით იმეორებს და ჩუმად ვერ ახერხებს, სანამ ვინმე ვერ შეამჩნევს, რომ ანგარიში ჩაკეტილია. როცა აღიარებთ, რომ ასლები ანგარიშის გარეთ ცხოვრობენ, როტაცია ერთ მოქმედებად აღარ ჩანს.

ამათგან არაფერი ეწინააღმდეგება როტაციას. ის მხარს უჭერს შენახული ასლების ცვლილების ნაწილად განხილვას და არა უკანასკნელ აზრად. ჩაკეტვა ჩვეულებრივ პარალელური განმეორებითი ცდებიდან მოდის: თითოეული მოწყობილობა აგრძელებს ძველი მნიშვნელობის გაგზავნას საკუთარი განრიგით, სანამ მრიცხველი ამოქმედდება. მაშინ ანგარიში თავდასხმად გამოიყურება, თუმცა მას მხოლოდ ისეთი სერთიფიკატები სთავაზობენ, რომლებიც არავის შეუცვლია. ეს განსხვავება მნიშვნელოვანია, რადგან გადაწყვეტა მოწყობილობების სიაა და არა უფრო მკაცრი ჩაკეტვის პოლიტიკა.

როტაციამდე ჩამოთვალეთ ასლები

დაწერეთ სია პაროლის ფორმის გახსნამდე. ჩამოთვალეთ ყველა კლიენტი, სკრიპტი, ავტომატიზაცია და მართული პროფილი, რომელიც ამ ანგარიშად ადასტურებს თავს: ტელეფონი, რომელიც თავად უკავშირდება, ორი წლის წინ გამართული მარშრუტიზატორი, ლეპტოპი, რომელიც მხოლოდ ორშაბათობით იღვიძებს, და მონიტორინგის შემოწმება, რომელიც ყოველ წუთს ცდილობს. თითოეულისთვის ჩაწერეთ, სად არის სერთიფიკატი შენახული, მისაწვდომია თუ არა მოწყობილობა ცვლილების დროს და რომელი აღდგენის გზა არსებობს, თუ ის ხელახლა ვერ დაუკავშირდება. სწორედ ეს სია აქცევს სარისკო ცვლილებას დაგეგმილად და ის უნდა არსებობდეს მანამ, სანამ ძველი პაროლი მუშაობას შეწყვეტს.

ოფლაინ მოწყობილობები კლასიკური გამოტოვებაა. უჯრაში მყოფი ლეპტოპი სამი კვირის შემდეგ ბრუნდება და მოძველებულ მნიშვნელობას ყველაზე ცუდ მომენტში წარმოადგენს. ჩაწერეთ მისი მდებარეობა და განრიგიც, რადგან მოგიწევთ მისი დევნა და არა ლოდინი.

Linux-ის ფლოტში ძიება მექანიკურია და არა ჭკვიანური. მოძებნეთ პროფილები, რომლებიც სერთიფიკატების ფაილს მიუთითებენ, შემდეგ თავად სერთიფიკატების ფაილები, რადგან მეორე სიაა გადასაწერი. გაიმეორეთ სავარჯიშო დესკტოპ კლიენტებისა და ტელეფონებისთვის, სადაც საცავი პროფილი ან გასაღებების ბუდის ჩანაწერია და არა გზა. მიზანია სია, რომლითაც შეგიძლიათ იმუშაოთ და არა სკანირება, რომელიც ამტკიცებს, რომ ყველა ასლს პოულობს.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

შეადარეთ ასლები მათ მფლობელ ადამიანებს. მოწყობილობა, რომელსაც არავინ ითხოვს, არის მოწყობილობა, რომელსაც არავინ განაახლებს, და სწორედ ის არის ყველაზე სავარაუდო, რომ განმეორებითი ცდები გააგრძელოს.

რომელ საიდუმლოს ატრიალებთ სინამდვილეში

ანგარიშის პაროლი VPN-ის განლაგებაში მხოლოდ ერთი სერთიფიკატია. გასაღების პაროლფრაზას, სერტიფიკატის იდენტობას და არჩევით პარტნიორის საიდუმლოს თითოეულს აქვს საკუთარი შეცვლის გზა და საკუთარი მფლობელი. ანგარიშის პაროლის შეცვლა არაფერს აკეთებს სერტიფიკატით ავთენტიფიკაციის მოწყობილობისთვის, ხოლო სერტიფიკატის ხელახალი გაცემა არაფერს აკეთებს შენახული პაროლის მქონე კლიენტისთვის. დაასახელეთ საიდუმლო სანამ გადაწყვეტას დაასახელებთ.

თუ როტაცია ეჭვით იმართება და არა პოლიტიკით, ინციდენტის პროცესი კომფორტის გეგმაზე წინ დგას. გააუქმეთ ის, რასაც მტკიცებულებები მოითხოვს, და მიიღეთ დამატებითი სამუშაო მოწყობილობების სიაზე. ეს გადაწყვეტილება ინციდენტის მფლობელს ეკუთვნის და არა მას, ვინც შემთხვევით პაროლის აღდგენის ფორმა უჭირავს.

შეცვალეთ შენახული მნიშვნელობა იქ, სადაც ის ცხოვრობს

შეცვალეთ სერთიფიკატი იმ მექანიზმით, რომელსაც სერვისი ადოკუმენტირებს, შემდეგ განაახლეთ შენახული ასლი ან გაუშვით შესვლის ნაკადი ყოველ მოწყობილობაზე, რომლის შენარჩუნებასაც აპირებთ. არ შეასწოროთ გენერირებული კონფიგურაცია მისი გადამწერი მენეჯერის უკან, რადგან მენეჯერი შემდეგ გაშვებაზე ძველ მნიშვნელობას აღადგენს და შესწორება დაგვიანებულ ხარვეზად იქცევა. განაახლეთ ის წყარო, რომელსაც მენეჯერი კითხულობს, ან გამოიყენეთ კლიენტის საკუთარი სერთიფიკატების საცავი. ნებისმიერ შემთხვევაში, მოწყობილობამ უნდა დაასრულოს ახალი მნიშვნელობით იმ ადგილას, სადაც კლიენტი რეალურად კითხულობს.

კლიენტს, რომელიც პაროლის ფაილს ინახავს, სჭირდება გადაწერილი ფაილი, ხოლო კლიენტს, რომელიც ითხოვს, სჭირდება დასრულებული შესვლა. NetworkManager საიდუმლოს კავშირის პროფილში ინახავს, ამიტომ ცვლილება nmcli-ით გადის და არა ტექსტური რედაქტორით:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

პროფილი, რომელიც სერთიფიკატების ფაილს კითხულობს, მესამე შემთხვევაა. შეცვალეთ ამ ფაილის შიგთავსი, დატოვეთ მისი ნებართვები დახურული და ხელახლა ჩატვირთეთ კლიენტი იმ პროფილის შესწორების ნაცვლად, რომელიც მასზე მიუთითებს. პროფილი არ შეცვლილა; შეიცვალა მხოლოდ საიდუმლო, რომელსაც ის კითხულობს.

ხელახლა დააკავშირეთ ყოველი განზრახული მოწყობილობა ერთხელ, განზრახ, და ნახეთ რომლები ვერ ახერხებენ. თუ მოწყობილობა განაგრძობს წარუმატებლობას, შეხედეთ ანგარიშს, რომელზეც მიუთითებს, და საცავს, რომელსაც კითხულობს, სანამ პაროლს ხელახლა შეცვლით, რადგან მეორე ცვლილება ამრავლებს განსაახლებელ ასლებს. მოწყობილობა, რომელიც ორჯერ ვერ ახერხებს ჩვეულებრივ არასწორ ანგარიშზე მიუთითებს ან კითხულობს საცავს, რომელიც ჯერ არ გიპოვიათ. გაასწორეთ ეს და შემდეგ ხელახლა დაუკავშირდით.

სესიები და ტოკენები პაროლზე დიდხანს ცოცხლობენ

პაროლის შეცვლა არ ამტკიცებს, რომ არსებული სესიები ან ცალკეული სერტიფიკატები გაუქმდა. ზოგიერთი სერვისი სესიას ცოცხლად ინახავს სანამ ის ამოიწურება ან ცალსახად არ შეწყდება, ხოლო გაცემულ ტოკენებს საკუთარი სიცოცხლის ხანგრძლივობა აქვთ. შეამოწმეთ რას აკეთებს სერვისი სინამდვილეში იმის ნაცვლად, რომ ივარაუდოთ ცვლილების გლობალურობა. თუ ცვლილება ეჭვით იყო გამოწვეული, ცალსახად შეწყვიტეთ სესიები და დაადასტურეთ შედეგი.

NIST SP 800-63B-ის სერთიფიკატების სიცოცხლის ციკლის გზამკვლევი ავთენტიფიკატორებსა და სესიებს ცალკე კატეგორიებში ინახავს, ამიტომ პაროლის შეცვლა და გლობალური გასვლა სხვადასხვა ოპერაციაა. მოეპყარით მათ როგორც ორ დავალებას ორი დასრულების კრიტერიუმით. პირველი მთავრდება, როცა ახალი მნიშვნელობა მუშაობს, ხოლო მეორე — როცა ძველი სესიები გაქრა.

ჩაწერეთ დასრულება ახალი პაროლის ჩანაწერში ჩაუწერელად. როტაციის ჟურნალი, რომელიც სერთიფიკატს შეიცავს, ახალი ინციდენტია, რომელიც საერთო დისკზე ელოდება. ჩაწერეთ თარიღი, განახლებული მოწყობილობები და ჯერ კიდევ დარჩენილი მოწყობილობები.