Бардык түзмөктөрдү кулпулабай VPN сырсөзүн алмаштыруу

Үч телефон, маршрутизатор жана бир мониторинг текшерүүсү азыркыга чейин эски сырсөздү кармап турат, алардын бири токсон секунд сайын кайра туташат. Каттоо эсебинин сырсөзи он мүнөт мурун өзгөргөн, ошондуктан бул кардарлардын ар бири азыр сервер четке каккан маанини жиберет. Уламыш ушунда бузулат: сырсөздү өзгөртүү эсепке тийет, ар бир түзмөктө жаткан эски маанинин көчүрмөлөрүнө эмес. Андан кийин өзгөртүү жасабаган иш келет.

Уламыш: бир өзгөртүү, бардык жерде бир убакта

Сырсөздү өзгөртүү баарын чыгарып, таза кайра кирүүнү талап кылат деген ишеним бар. Андай эмес, анткени сервер акыркы кабыл алган каттоо маалыматын гана көзөмөлдөйт, ал эми кардарлар өздөрү сактаганын кармап турат. Сакталган сырсөзү бар түзмөк аны өз графиги боюнча кайра аракет кылат жана бирөө эсеп кулпуланганын байкаганга чейин үнсүз ийгиликсиз болот. Көчүрмөлөр эсептен тышкары жашайт деп кабыл алгандан кийин, ротация бир аракеттей көрүнбөйт.

Булардын эч бири ротацияга каршы эмес. Бул сакталган көчүрмөлөрдү кийинки ой эмес, өзгөртүүнүн бөлүгү катары кароону жактайт. Кулпулоо адатта параллелдүү кайталоолордон болот: ар бир түзмөк эсептегич иштегенге чейин эски маанини өз графиги боюнча жиберүүнү улантат. Ошондо эсеп кол салууга кабылгандай көрүнөт, бирок ага эч ким алмаштырбаган каттоо маалыматтары гана сунушталат. Бул айырма маанилүү, анткени чечим катуу кулпулоо саясаты эмес, түзмөктөр тизмеси.

Ротациядан мурун көчүрмөлөрдү тизмектеңиз

Сырсөз формасын ачканга чейин тизме жаз. Ушул эсеп катары аутентификацияланган ар бир кардарды, скриптти, автоматташтырууну жана башкарылуучу профилди тизмекте: өзү туташкан телефон, эки жыл мурун конфигурацияланган маршрутизатор, дүйшөмбү күнү гана ойгонгон ноутбук жана ар бир мүнөттө аракет кылган мониторинг текшерүүсү. Ар бири үчүн каттоо маалыматы кайда сакталарын, өзгөртүү учурунда түзмөккө жетүү мүмкүнбү жана кайра туташа албаса кандай калыбына келтирүү жолу бар экенин жаз. Так ушул тизме кооптуу өзгөртүүнү пландалган өзгөртүүгө айлантат жана эски сырсөз иштебей калганга чейин болушу керек.

Оффлайн түзмөктөр классикалык өткөрүп жиберүү. Тартмадагы ноутбук үч жумадан кийин кайтып келип, эскирген маанини эң жаман учурда сунуштайт. Анын ордун жана графигин да жаз, анткени күтүү эмес, кууп жетүү керек.

Linux паркында издөө акылдуу эмес, механикалык. Каттоо маалыматы файлына шилтеме кылган профилдерди изде, анан каттоо маалыматы файлдарынын өзүн изде, анткени кайра жазылуучу экинчи тизме. Иш такта кардарлары жана телефондор үчүн көнүгүүнү кайтала, мында сактоо жол эмес, профиль же ачкыч байланыштыргыч жазуусу. Максат — иштесе боло турган тизме, ар бир көчүрмөнү табам деп ырастаган скан эмес.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Көчүрмөлөрдү аларга ээ адамдар менен салыштыр. Эч ким талап кылбаган түзмөктү эч ким жаңыртпайт, жана дал ошол кайталоону улантууга эң ыктымал.

Сиз чындыгында кайсы сырды айландырып жатасыз

Каттоо эсебинин сырсөзи VPN орнотуусунда бир гана каттоо маалыматы. Ачкыч сүйлөмү, сертификаттын инсандыгы жана кошумча өнөктөш сырынын ар биринин өз алмаштыруу жолу жана өз ээси бар. Каттоо эсебинин сырсөзин өзгөртүү сертификат менен аутентификацияланган түзмөккө эч нерсе кылбайт, ал эми сертификатты кайра берүү сакталган сырсөзү бар кардарга эч нерсе кылбайт. Чечимди атаардан мурун сырды ата.

Эгер ротация саясаттан эмес, шектенүүдөн келип чыкса, окуя процесси ыңгайлуулук планынан артык. Далилдер талап кылган нерсени жокко чыгар жана түзмөктөр тизмесиндеги кошумча иштерди кабыл ал. Бул чечим окуя ээсине таандык, сырсөздү калыбына келтирүү формасын кокустан кармаган адамга эмес.

Сакталган маанини ал жашаган жерде алмаштыр

Каттоо маалыматын кызмат документтеген механизм аркылуу өзгөрт, анан сакталган көчүрмөнү жаңырт же сактагың келген ар бир түзмөктө кирүү агымын иштет. Аны кайра жазган менеджердин артындагы жаралган конфигурацияны оңдобо, анткени менеджер кийинки иштетүүдө эски маанини калыбына келтирет жана оңдоо кечиктирилген бузулууга айланат. Менеджер окуган булакты жаңырт же кардардын өзүнүн каттоо маалыматы кампасын колдон. Кандай болбосун, түзмөк кардар чындыгында окуган жерде жаңы маани менен бүтүшү керек.

Сырсөз файлын сактаган кардар файлдын кайра жазылышын талап кылат, ал эми сураган кардар бүткөн кирүүнү талап кылат. NetworkManager сырды туташуу профилинин ичинде кармайт, ошондуктан өзгөртүү тексттик редактордон эмес, nmcli аркылуу өтөт:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Каттоо маалыматы файлын окуган профиль — үчүнчү учур. Ошол файлдын мазмунун алмаштыр, укуктарын жабык карма жана ага шилтеме кылган профилди оңдоонун ордуна кардарды кайра жүктө. Профиль өзгөргөн жок; анын окуган сыры гана өзгөрдү.

Ар бир ниеттелген түзмөктү бир жолу атайын кайра туташтыр жана кайсылары ийгиликсиз болорун көзөмөлдө. Эгер түзмөк ийгиликсиз болууну улантса, сырсөздү кайра өзгөртүүдөн мурун ал шилтеме кылган эсепти жана окуган кампаны кара, анткени экинчи өзгөртүү жаңыртылуучу көчүрмөлөрдү көбөйтөт. Эки жолу ийгиликсиз болгон түзмөк адатта туура эмес эсепке шилтейт же сиз али таппаган кампаны окуйт. Аны оңдоп, анан кайра туташ.

Сессиялар жана токендер сырсөздөн узак жашайт

Сырсөздү өзгөртүү учурдагы сессиялар же өзүнчө сертификаттар жокко чыгарылганын далилдебейт. Айрым кызматтар сессияны мөөнөтү бүткөнгө чейин же ачык токтотулганга чейин тирүү кармайт, ал эми берилген токендердин өз жашоо мөөнөтү бар. Өзгөртүү глобалдык болду деп болжогондун ордуна кызматтын чындыгында эмне кыларын текшер. Эгер өзгөртүү шектенүүдөн келип чыкса, сессияларды ачык токтот жана жыйынтыкты ыраста.

NIST SP 800-63B дөгү каттоо маалыматынын жашоо циклин жетектөө аутентификаторлорду жана сессияларды өзүнчө категорияларда кармайт, ошондуктан сырсөздү өзгөртүү жана глобалдык чыгуу — ар башка операциялар. Аларды эки бүтүрүү критерийи бар эки тапшырма катары кара. Биринчиси жаңы маани иштегенде бүтөт, экинчиси эски сессиялар жоголгондо бүтөт.

Бүтүрүүнү жаңы сырсөздү жазууга жазбай жазып кой. Каттоо маалыматын камтыган ротация журналы — жалпы дискте күтүп турган жаңы окуя. Күндү, жаңыртылган түзмөктөрдү жана али калган түзмөктөрдү жаз.