Барлық құрылғыны құлыптамай VPN құпиясөзін ауыстыру

Үш телефон, маршрутизатор және бір мониторинг тексерісі әлі ескі құпиясөзді ұстап тұр, ал олардың біреуі тоқсан секунд сайын қайта қосылады. Тіркелгі құпиясөзі он минут бұрын өзгерді, сондықтан бұл клиенттердің әрқайсысы енді сервер қабылдамайтын мәнді жібереді. Аңыз дәл осы сәтте бұзылады: құпиясөзді өзгерту тіркелгіге әсер етеді, әр құрылғыда жатқан ескі мәннің көшірмелеріне емес. Одан кейін өзгеріс жасамаған жұмыс келеді.

Аңыз: бір өзгеріс, барлық жерде бірден

Құпиясөзді өзгерту бәрін жүйеден шығарып, таза қайта кіруді талап етеді деген сенім бар. Олай емес, өйткені сервер тек соңғы қабылдаған тіркелу деректерін қадағалайды, ал клиенттер өздері сақтағанын ұстайды. Сақталған құпиясөзі бар құрылғы оны өз кестесімен қайталап, біреу тіркелгінің құлыпталғанын байқағанша үнсіз сәтсіздікке ұшырайды. Көшірмелер тіркелгіден тыс өмір сүреді деп қабылдағанда, ротация бір әрекет сияқты көрінбейді.

Мұның ешқайсысы ротацияға қарсы емес. Бұл сақталған көшірмелерді кейінгі ой емес, өзгерістің бөлігі ретінде қарауды қолдайды. Құлыптау әдетте қатар жүретін қайталаулардан болады: әр құрылғы санауыш іске қосылғанша ескі мәнді өз кестесімен жіберуді жалғастырады. Сонда тіркелгі шабуылға ұшырағандай көрінеді, бірақ оған ешкім ауыстырмаған тіркелу деректері ғана ұсынылады. Бұл айырмашылық маңызды, өйткені шешім қатаң құлыптау саясаты емес, құрылғылар тізімі.

Ротация алдында көшірмелерді түгендеңіз

Құпиясөз нысанын ашпас бұрын тізімді жазыңыз. Осы тіркелгі ретінде аутентификацияланатын әр клиентті, скриптті, автоматтандыруды және басқарылатын профильді тізіңіз: өзі қосылатын телефон, екі жыл бұрын конфигурацияланған маршрутизатор, тек дүйсенбіде оянатын ноутбук және әр минут сайын әрекеттенетін мониторинг тексерісі. Әрқайсысы үшін тіркелу деректері қайда сақталатынын, өзгеріс кезінде құрылғыға жетуге болатынын және қайта қосыла алмаса, қандай қалпына келтіру жолы бар екенін жазыңыз. Дәл осы тізім қауіпті өзгерісті жоспарланған өзгеріске айналдырады және ескі құпиясөз жұмыс істеуін тоқтатпас бұрын болуы керек.

Офлайн құрылғылар — классикалық өткізу. Тартпадағы ноутбук үш аптадан кейін оралып, ескірген мәнді ең нашар сәтте ұсынады. Оның орны мен кестесін де жазыңыз, өйткені оны күту емес, қууға тура келеді.

Linux паркінде іздеу ақылды емес, механикалық. Тіркелу деректері файлына сілтейтін профильдерді іздеңіз, содан кейін тіркелу деректері файлдарының өзін іздеңіз, өйткені қайта жазылатын екінші тізім. Жұмыс үстелі клиенттері мен телефондар үшін жаттығуды қайталаңыз, онда қойма жол емес, профиль немесе кілтсақтағыш жазбасы. Мақсат — бойынша жұмыс істеуге болатын тізім, әр көшірмені табамын деп мәлімдейтін скан емес.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Көшірмелерді оларға ие адамдармен салыстырыңыз. Ешкім талап етпейтін құрылғыны ешкім жаңартпайды, және дәл сол қайталауды жалғастыруға ең бейім.

Сіз шын мәнінде қандай құпияны айналдырып жүрсіз

Тіркелгі құпиясөзі VPN орналастыруындағы бір ғана тіркелу дерегі. Кілт фразасы, сертификат сәйкестігі және қосымша серіктес құпиясының әрқайсысының өз ауыстыру жолы мен өз иесі бар. Тіркелгі құпиясөзін өзгерту сертификатпен аутентификацияланатын құрылғыға ештеңе жасамайды, ал сертификатты қайта шығару сақталған құпиясөзі бар клиентке ештеңе жасамайды. Шешімді атамас бұрын құпияны атаңыз.

Егер ротация саясаттан емес, күдіктен туындаса, оқиға процесі жайлылық жоспарынан басым. Дәлелдер талап ететін нәрсені кері қайтарып, құрылғылар тізіміндегі қосымша жұмысты қабылдаңыз. Бұл шешім оқиға иесіне тиесілі, құпиясөзді қалпына келтіру нысанын кездейсоқ ұстаған адамға емес.

Сақталған мәнді ол өмір сүретін жерде ауыстырыңыз

Тіркелу деректерін қызмет құжаттайтын механизм арқылы өзгертіңіз, содан кейін сақталған көшірмені жаңартыңыз немесе сақтағыңыз келетін әр құрылғыда кіру ағынын орындаңыз. Оны қайта жазатын менеджердің артындағы жасалған конфигурацияны өңдемеңіз, өйткені менеджер келесі іске қосқанда ескі мәнді қалпына келтіреді және өңдеу кешеуілдетілген ақауға айналады. Менеджер оқитын көзді жаңартыңыз немесе клиенттің өз тіркелу деректері қоймасын пайдаланыңыз. Қалай болғанда да, құрылғы клиент шын мәнінде оқитын жерде жаңа мәнмен аяқталуы керек.

Құпиясөз файлын сақтайтын клиент файлдың қайта жазылуын қажет етеді, ал сұрайтын клиент аяқталған кіруді қажет етеді. NetworkManager құпияны қосылым профилінің ішінде ұстайды, сондықтан өзгеріс мәтіндік редактордан емес, nmcli арқылы өтеді:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Тіркелу деректері файлын оқитын профиль — үшінші жағдай. Сол файлдың мазмұнын ауыстырып, рұқсаттарын жабық ұстап, оған сілтейтін профильді өңдеудің орнына клиентті қайта жүктеңіз. Профиль өзгерген жоқ; тек оның оқитын құпиясы өзгерді.

Әр мақсатты құрылғыны бір рет әдейі қайта қосып, қайсысы сәтсіздікке ұшырайтынын бақылаңыз. Егер құрылғы сәтсіздікке ұшырауды жалғастырса, құпиясөзді қайта өзгерту алдында ол сілтейтін тіркелгіге және оқитын қоймаға назар аударыңыз, өйткені екінші өзгеріс жаңартылатын көшірмелерді көбейтеді. Екі рет сәтсіздікке ұшыраған құрылғы әдетте дұрыс емес тіркелгіге сілтейді немесе сіз әлі таппаған қойманы оқиды. Оны түзетіп, содан кейін қайта қосылыңыз.

Сеанстар мен токендер құпиясөзден ұзақ өмір сүреді

Құпиясөзді өзгерту қолданыстағы сеанстардың немесе бөлек сертификаттардың кері қайтарылғанын дәлелдемейді. Кейбір қызметтер сеансты мерзімі бітпейінше немесе анық тоқтатылмайынша тірі ұстайды, ал шығарылған токендердің өз өмірлік мерзімі бар. Өзгеріс жаһандық болды деп болжаудың орнына қызметтің шын мәнінде не істейтінін тексеріңіз. Егер өзгеріс күдіктен туындаса, сеанстарды анық тоқтатып, нәтижені растаңыз.

NIST SP 800-63B-тегі тіркелу деректерінің өмірлік циклі туралы нұсқаулық аутентификаторлар мен сеанстарды бөлек санаттарда ұстайды, сондықтан құпиясөзді өзгерту мен жаһандық шығу — түрлі операциялар. Оларды екі аяқталу критерийі бар екі тапсырма ретінде қарастырыңыз. Біріншісі жаңа мән жұмыс істегенде аяқталады, екіншісі ескі сеанстар жойылғанда аяқталады.

Аяқталуды жаңа құпиясөзді жазбаға жазбай тіркеңіз. Тіркелу деректерін қамтитын ротация журналы — ортақ дискіде күтіп тұрған жаңа оқиға. Күнді, жаңартылған құрылғыларды және әлі қалған құрылғыларды жазыңыз.