E VPN-Authentifikatiouns-Backend migréieren ouni al Hashes erëm ze benotzen

Benotzernimm erschéngen am neien Verzeechnes, d'Migratioun gëtt als ofgeschloss erkläert, an d'Umeldungen hale weider net. D'Gateway brauch ëmmer nach en ënnerstëtzten Authentifikatiounswee an e korrekt Autorisatiounsresultat, a keen vun deenen zwee kënnt aus engem Verzeechnes, dat elo d'Konten enthält. En Ëmzuch vum Backend ass en Ëmstieg mat engem Liewenszyklus, keng Kopéieraufgab. D'Symptom hei drënner ass dat, wat den Ënnerscheed meeschtens opdeckt.

D'Symptom: d'Konten existéieren, d'Sessiounen net

Dat neit Verzeechnes enthält all Benotzernimm, en Test-Bind geet duerch, an de VPN-Client gëtt nach ëmmer en Authentifikatiounsfehler zréck. Déi Kombinatioun heescht, datt d'Identitéit existéiert, awer de Verifikatiounswee, deen d'Gateway benotzt, se net erreecht, oder se mat enger Method erreecht, déi se net erfëlle kann. Béides ass Konfiguratioun, an et sinn ënnerschiddlech Problemer.

Dat éischt ass Verkabelung: d'Gateway weist op en Backend, deen net äntwert, benotzt e gedeelt Geheimnis, dat déi aner Säit net erwaart, oder freet en Attribut un, deen déi nei Déngschtleeschtung net zréckgëtt. Dat zweet ass kryptografesch: d'Method erfuerdert dat ursprénglech Geheimnis, an de neie Späicher hält nëmmen en Hash dovun. Den Feelertext gesäit a béide Fäll ähnlech aus, dofir ginn déi zwee als ee Problem behandelt.

Déi zwee trennen, ier d'Konten ugegraff ginn, spuert eng Woch. Dat een ass eng Fro vum Routing a Vertrauen, dat anert eng Decisioun iwwer d'Zerécksetzen vun den Zouchrëffsdaten, an se Vermëschen produzéiert Ännerungen, déi keen zouuerdne kann.

Kartographéier d'Kette, ier een verréckelt gëtt

Schreif sechs Saachen fir all Clientprofil op: déi baussenzeg Authentifikatiounsmethod, eng eventuell bannenzeg Method, d'Serveridentitéit, déi de Client erwaart, d'Interface tëscht Gateway a Backend, den Attribut, deen d'Gateway op d'Gruppememberschaft abilt, an d'Ressourcepolitik, déi doraus resultéiert. Se an der Rei liesen weist, wéi eng Verbindung keen huet. All Element huet en Owner, an den Ëmstieg scheitert un deem, deen keen iwwerpréift huet.

Eng normal Umeldung am Verzeechnes geet bal näischt vun där Kette duerch. Si beweisegt, datt de Kont existéiert an de Passwuert funktionéiert, also just deen Deel, deen ni a Fro gestallt war.

Hashes reesen net tëscht Methoden

D'Kompatibilitéit vun den Zouchrëffsdaten muss eemol gepréift ginn, ier eng Grupp verréckelt gëtt. FreeRADIUS dokumentéiert d'Opdeelung kloer: eng CHAP-Kontroll, déi de Server selwer duerchféiert, brauch dat richtegt Passwuert, an MS-CHAP akzeptéiert dat Passwuert oder gëeegent NT-Material. En Hash, deen fir en aneren Zweck gemaach gouf, passt op keen vun deenen zwee Fäll, wéi staark en och ass.

Den Ënnerscheed läit doran, wien de Beweis berechent. Eng Method, déi duerch Bind un d'Verzeechnes verifizéiert, léisst d'Verzeechnes kontrolléieren, wat et kontrolléiere kann. Eng Method, déi duerch Neiberechnung vun enger Challenge-Antwert verifizéiert, brauch dat Geheimnis selwer, well de Server déiselwecht Berechnung muss duerchféieren.

Wou d'Material feelt, sinn déi éierlech Optiounen en ënnerstëtzten Reset, eng Nei-Inscriptioun, en externen Verifikatiounsdéngscht oder eng Methodenännerung. En temporären Export vun erëmhuelbare Passwierder steet net op där Lëscht. En schaaft e Späicher vun Zouchrëffsdaten am Klortext an der chaotescher Woch vum Projet, an en iwwerlieft meeschtens d'Migratioun.

Pilotgrupp, duerno Ännerunge vum Liewenszyklus

Verreech eng kleng Grupp vun approuvéierten Identitéiten mam echte Client, a probéier véier Saachen: eng frësch Umeldung, en absichtlech falschen Zouchrëffsdatum, d'Ressourcen, déi d'Sessioun erreeche kann, an d'Ressourcen, déi se net erreeche kann. Kontrolléier och d'Serveridentitéit, déi de Client acceptéiert huet, well eng Ofwäichung vum Certificatsnumm onsichtbar ass, bis een de Clientlog liest.

Duerno übe déi Ännerungen, vun deenen d'Asetzung wierklech ofhänkt. Änner e Passwuert, erneier oder registréier en Certificat nei, an entzuch engem Pilotkonto den Zougang. No all eenzel, bestäteg, wéi een Iwwerpréifer den Versuch behandelt huet, well eng Sessioun, déi virum Ëmstieg geschaf gouf, weider funktionéiere kann an näischt iwwer déi nächst Umeldung beweist.

Trenn d'Profillawerung vum Identitéitswiessel. All Grupp brauch hiren ugedachte Profil, hiren Zoustand vun den Zouchrëffsdaten oder der Inscriptioun, den Authentifikatiounsdéngscht, deen se soll benotzen, an e Supportkontakt, an keen vun dësen Donnéeën däerf en Geheimnis enthalen.

Wann al an nei Weeër niewenteneen existéieren, begrenz se mat engem Schlussdatum. En automatesche Fallback kann e Kont iwwer en ale Zouchrëffsdatum eraloossen, nodeems den neien Owner den Zougang ewechgeholl huet, an dat ass eng Sécherheetsregressioun, déi sech als Disponibilitéit verkleedt.

En Zréckrullen kann keen Zouchrëffsdatum restauréieren

Den Ëmstieg réckgängeg maachen hannerléisst d'Verzeechnes genee sou, wéi et elo steet. En zréckgesat Passwuert bleift zréckgesat, en zréckgezunnene Certificat bleift zréckgezunn, an e geännert Format vun den Zouchrëffsdaten bleift geännert. Dat sinn Evenementer am Verzeechnes, an d'Gateway war ni hir Quell. D'Erhuelung muss pro Evenement definéiert ginn, an näischt dovun däerf dovun ofhänken, e Geheimnis aus engem inkompatiblen Hash ze rekonstruéieren.

Halt en administrativen Wee fräi, deen d'Verbindung, déi migréiert gëtt, net benotzt. Wann déi nei Authentifikatioun feelt, pauséier d'Grupp a benotz hiren dokumentéierte Erhuelungswee, amplaz d'Authentifikatioun fir all Leit ze schwächen, just fir eng Frist ze halen.

Nodeems d'Gruppe gedeckt sinn, zéi déi al Backend-Zouchrëffsdaten, Profiler a Vertrauensverhältnisser iwwer hir Owneren zeréck. Bestäteg, datt den ale Wee keng Benotzer méi eraleosst, a behalt d'net-geheimt Zouverlässegkeet vun der Identitéit zur Politik, déi den Support nach brauch. Eng Migratioun ass fäerdeg, wann den neien Liewenszyklus funktionéiert an keen méi iwwer den ale Wee era kënnt, net wann d'Kontelëscht komplett ausgesäit.