VPN-Passwuert änneren, ouni all Apparater auszesperren

Dräi Telefonen, en Router an eng Iwwerwaachungspréifung halen nach ëmmer dat aalt Passwuert, an eng dovun verbënnt sech all nonzeg Sekonnen erëm. D’Kontopasswuert gouf virun zéng Minutten geännert, also schéckt elo all eenzel vun dëse Cliente en Wäert, deen de Server ofleet. Do brécht de Mythos: eng Passwuertännerung betrefft de Kont, net d’Kopie vum ale Wäert op all Apparat. Wat duerno kënnt, ass d’Aarbecht, déi d’Ännerung net gemaach huet.

De Mythos: eng Ännerung, iwwerall zur selwechter Zäit

D’Iwwerzeegung ass, datt eng Passwuertännerung alles ausloggt an en neie proppere Login forcéiert. Dat mécht se net, well de Server nëmmen derbäi bleift, wéi eng Umeldungsdaten hien als lescht akzeptéiert huet, wärend d’Cliente behalen, wat se gespäichert hunn. En Apparat mat gespäichertem Passwuert probéiert et no sengem eegene Plang erëm a schléit stëll fehl, bis een mierkt, datt de Kont gespaart ass. Soubal een akzeptéiert, datt d’Kopie baussen dem Kont liewen, gesäit d’Rotatioun net méi wéi eng eenzeg Aktioun aus.

Näischt dovun argumentéiert géint d’Rotatioun. Et argumentéiert dofir, déi gespäichert Kopien als Deel vun der Ännerung ze behandelen an net als spéideren Denken. Eng Spär kënnt meeschtens vun parallele Widderhuelungen: all Apparat schéckt deen ale Wäert no sengem eegene Plang weider, bis den Zähler auslöst. Da gesäit de Kont ugegraff aus, obwuel him just Umeldungsdaten ugebuede ginn, déi keen ersat huet. Dës Ënnerscheedung ass wichteg, well d’Léisung eng Lëscht vun Apparater ass an net eng méi streng Spärpolitik.

Inventariséiert d’Kopien, ier dir rotéiert

Schreift d’Lëscht, ier dir de Passwuertformulaire opmaacht. Lëscht all Client, Skript, Automatiséierung a geréierte Profil op, deen sech als dëse Kont authentifizéiert: den Telefon, deen sech selwer verbënnt, de Router, dee virun zwee Joer konfiguréiert gouf, de Laptop, deen nëmme méindes erwächt, an d’Iwwerwaachungspréifung, déi all Minutt probéiert. Fir jiddereen, notéiert wou d’Umeldungsdaten gespäichert sinn, ob den Apparat während der Ännerung erreechbar ass a wéi ee Recuperatiounswee existéiert, wann en sech net ka verbannen. Déi Lëscht mécht aus enger riskanter Ännerung eng geplangten, an se muss existéieren, ier dat aalt Passwuert ophält ze funktionéieren.

Offline-Apparater sinn de klassische Fehler. E Laptop an enger Tiräng kënnt dräi Wochen méi spéit zréck a presentéiert deen ale Wäert am schlëmmste Moment. Notéiert och seng Plaz a säi Plang, well dir musst him nogoen an net op hien waarden.

Op enger Linux-Flott ass d’Sich mechanesch an net clever. Sicht Profiler, déi op eng Umeldungsdatei verweisen, da sicht d’Umeldungsdateien selwer, well déi zweet Lëscht déi ass, déi nei geschriwwe muss ginn. Widderhielt d’Übung fir Desktop-Cliente mat Telefonen, wou de Späicher e Profil oder en Schlësselring-Agang ass an net e Wee. D’Zil ass eng Lëscht, duerch déi dir schaffe kënnt, net e Scan, deen behaapt, all Kopie ze fannen.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Moosst d’Kopien un de Leit, déi se besëtzen. En Apparat, deen keen ufuerdert, ass en Apparat, deen keen aktualiséiert, an et ass och deen, deen am méiglechsten weider probéiert.

Wéi ee Geheimnis dir tatsächlech rotéiert

E Kontopasswuert ass just eng Umeldungsdaten an enger VPN-Installatioun. Eng Schlësselpassphrase, eng Zertifikatsidentitéit an e optionaalt Partnergeheimnis hunn all hire eigenen Ersatzwee an hire eigenen Besëtzer. D’Kontopasswuert z’änneren mécht näischt fir en Apparat, deen sech mat engem Zertifikat authentifizéiert, an en Zertifikat nei auszeginn mécht näischt fir e Client mat engem gespäicherte Passwuert. Nennt d’Geheimnis, ier dir d’Léisung nennt.

Wann d’Rotatioun duerch Verdacht an net duerch Politik gedriwwe gëtt, huet den Incident-Prozess Virrang virum Komfortplang. Widderrufft wat d’Beweiser verlaangen an akzeptéiert d’Zousazaarbecht op der Apparatelëscht. Déi Entscheedung gehéiert dem Incident-Besëtzer, net deem, deen zoufälleg de Passwuert-Reset-Formulaire hält.

Ersetzt dee gespäicherte Wäert do wou en lieft

Ännert d’Umeldungsdaten iwwert de Mechanismus, deen den Déngscht dokumentéiert, aktualiséiert dann d’gespäichert Kopie oder fuert de Login-Flow op all Apparat aus, deen dir wëllt behalen. Ännert keng generéiert Konfiguratioun hannert engem Manager, deen se nei schreift, well de Manager deen ale Wäert beim nächsten Laf restauréiert an d’Ännerung gëtt en verzögerte Feeler. Aktualiséiert d’Quell, déi de Manager liest, oder benotzt de Client säin eegene Späicher fir Umeldungsdaten. Wéi och ëmmer, den Apparat muss um Enn deen neie Wäert do hunn, wou de Client tatsächlech liest.

E Client, deen eng Passwuertdatei späichert, brauch d’Datei nei geschriwwen, wärend e Client, deen freet, en ofgeschlossene Login brauch. NetworkManager hält d’Geheimnis am Verbindungsprofil, also geet d’Ännerung iwwert nmcli an net iwwert en Texteditor:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

E Profil, deen eng Umeldungsdatei liest, ass en drëtte Fall. Ersetzt den Inhalt vun där Datei, hält hir Permissiounen zou an lued de Client nei, amplaz de Profil ze änneren, deen drop weist. De Profil huet sech net geännert; nëmmen d’Geheimnis, dat en liest, huet sech geännert.

Verbindt all virgesinn Apparat eemol bewosst erëm a kuckt wéi eng fehlschloen. Wann en Apparat weider fehlschléit, kuckt de Kont op deen en weist an de Späicher deen en liest, ier dir d’Passwuert nach eng Kéier ännert, well eng zweet Ännerung d’Kopien, déi aktualiséiert musse ginn, vervillfacht. En Apparat, deen zweemol fehlschléit, weist meeschtens op de falschen Kont oder liest e Späicher, deen dir nach net fonnt hutt. Fixéiert dat, a verbënnt dann erëm.

Sessiounen an Token iwwerliewen d’Passwuert

D’Passwuert z’änneren beweist net, datt existent Sessiounen oder separat Zertifikater widderruf goufen. E puer Déngschter halen eng Sessioun lieweg bis se ofleeft oder explizit ofgeschloss gëtt, an ausgestallten Token droen hir eege Liewensdauer. Préift wat den Déngscht tatsächlech mécht, amplaz unzehuelen, d’Ännerung wier global. Wann d’Ännerung duerch Verdacht gedriwwe gouf, schléisst d’Sessiounen explizit of a bestätegt d’Resultat.

D’Leitlinn zum Liewenszyklus vun Umeldungsdaten an NIST SP 800-63B hält Authentifizéierer a Sessiounen an getrennte Kategorien, dofir sinn eng Passwuertännerung an en globale Logout verschidde Operatiounen. Behandelt se wéi zwou Aufgabe mat zwee Ofschlosskriterien. Déi éischt ass fäerdeg, wann den neie Wäert funktionéiert, an déi zweet, wann déi al Sessiounen fort sinn.

Notéiert den Ofschloss, ouni dat neit Passwuert an den Notiz ze schreiwen. E Rotatiounslog, deen d’Umeldungsdaten enthält, ass en neien Incident, deen op enger gedeelter Disk waart. Notéiert den Datum, déi aktualiséiert Apparater an déi Apparater déi nach ausstoen.