Pakeisti VPN slaptažodį neužrakinus visų įrenginių

Trys telefonai, maršrutizatorius ir viena stebėjimo patikra vis dar laiko seną slaptažodį, o vienas iš jų kas devyniasdešimt sekundžių jungiasi iš naujo. Paskyros slaptažodis pakeistas prieš dešimt minučių, todėl kiekvienas iš šių klientų dabar siunčia reikšmę, kurią serveris atmeta. Tuomet mitas lūžta: slaptažodžio keitimas paliečia paskyrą, o ne senos reikšmės kopijas kiekviename įrenginyje. Toliau eina darbas, kurio pakeitimas neatliko.

Mitas: vienas pakeitimas, visur vienu metu

Manoma, kad slaptažodžio keitimas atjungia viską ir priverčia švariai prisijungti iš naujo. Taip nėra, nes serveris seka tik tai, kurią prisijungimo informaciją jis priėmė paskutinį kartą, o klientai laiko tai, ką išsaugojo. Įrenginys su išsaugotu slaptažodžiu kartoja jį pagal savo grafiką ir tyliai nepavyksta, kol kas nors nepastebi, kad paskyra užrakinta. Kai pripažįstate, kad kopijos gyvena už paskyros ribų, rotacija nustoja atrodyti kaip vienas veiksmas.

Niekas iš to neprieštarauja rotacijai. Tai argumentas išsaugotas kopijas traktuoti kaip pakeitimo dalį, o ne kaip vėlesnę mintį. Užrakinimas dažniausiai kyla iš lygiagrečių kartojimų: kiekvienas įrenginys toliau siunčia seną reikšmę pagal savo grafiką, kol suveikia skaitiklis. Tada paskyra atrodo užpulta, nors jai siūloma tik prisijungimo informacija, kurios niekas nepakeitė. Šis skirtumas svarbus, nes sprendimas yra įrenginių sąrašas, o ne griežtesnė užrakinimo politika.

Sudarykite kopijų sąrašą prieš rotaciją

Parašykite sąrašą prieš atidarydami slaptažodžio formą. Išvardykite kiekvieną klientą, scenarijų, automatizaciją ir valdomą profilį, kuris autentifikuojasi kaip ši paskyra: telefoną, kuris jungiasi pats, prieš dvejus metus sukonfigūruotą maršrutizatorių, nešiojamąjį kompiuterį, kuris pabunda tik pirmadieniais, ir stebėjimo patikrą, kuri bando kas minutę. Kiekvienam pažymėkite, kur saugoma prisijungimo informacija, ar įrenginys pasiekiamas pakeitimo metu ir koks atkūrimo kelias yra, jei jis negali prisijungti iš naujo. Šis sąrašas paverčia rizikingą pakeitimą suplanuotu, ir jis turi egzistuoti prieš senajam slaptažodžiui nustojus veikti.

Neprijungti įrenginiai yra klasikinis praleidimas. Nešiojamasis kompiuteris stalčiuje grįžta po trijų savaičių ir pateikia pasenusią reikšmę blogiausiu momentu. Pažymėkite ir jo vietą, ir grafiką, nes turėsite jį vytis, o ne laukti.

Linux parke paieška mechaninė, o ne protinga. Ieškokite profilių, kurie nurodo prisijungimo informacijos failą, tada pačių prisijungimo informacijos failų, nes būtent antrąjį sąrašą reikia perrašyti. Pakartokite pratimą darbalaukio klientams ir telefonams, kur saugykla yra profilis arba raktų saugyklos įrašas, o ne kelias. Tikslas yra sąrašas, su kuriuo galite dirbti, o ne skenavimas, kuris teigia randantis kiekvieną kopiją.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Palyginkite kopijas su žmonėmis, kuriems jos priklauso. Įrenginys, į kurį niekas nepretenduoja, yra įrenginys, kurio niekas neatnaujins, ir būtent jis labiausiai linkęs tęsti kartojimą.

Kokią paslaptį iš tikrųjų rotuojate

Paskyros slaptažodis yra tik viena prisijungimo informacija VPN diegime. Rakto slaptafrazė, sertifikato tapatybė ir pasirenkama partnerio paslaptis turi savo pakeitimo kelią ir savo savininką. Paskyros slaptažodžio keitimas nieko nedaro įrenginiui, kuris autentifikuojasi sertifikatu, o sertifikato perleidimas nieko nedaro klientui su išsaugotu slaptažodžiu. Įvardykite paslaptį prieš įvardydami sprendimą.

Jei rotaciją skatina įtarimas, o ne politika, incidento procesas viršija patogumo planą. Panaikinkite tai, ko reikalauja įrodymai, ir priimkite papildomą darbą su įrenginių sąrašu. Šis sprendimas priklauso incidento savininkui, o ne tam, kuris atsitiktinai laiko slaptažodžio atkūrimo formą.

Pakeiskite išsaugotą reikšmę ten, kur ji gyvena

Pakeiskite prisijungimo informaciją paslaugos dokumentuojamu mechanizmu, tada atnaujinkite išsaugotą kopiją arba paleiskite prisijungimo eigą kiekviename įrenginyje, kurį ketinate palikti. Neredaguokite sugeneruotos konfigūracijos už jos perrašančio valdytojo, nes valdytojas kitą kartą atkuria senesnę reikšmę ir redagavimas tampa atidėtu gedimu. Atnaujinkite šaltinį, kurį skaito valdytojas, arba naudokite kliento pačios prisijungimo informacijos saugyklą. Bet kuriuo atveju įrenginys turi baigti su nauja reikšme toje vietoje, kurią klientas iš tikrųjų skaito.

Klientui, kuris saugo slaptažodžio failą, reikia perrašyto failo, o klientui, kuris klausia, reikia užbaigto prisijungimo. NetworkManager laiko paslaptį ryšio profilyje, todėl pakeitimas eina per nmcli, o ne per teksto redaktorių:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profilis, kuris skaito prisijungimo informacijos failą, yra trečias atvejis. Pakeiskite to failo turinį, palikite jo teises uždarytas ir iš naujo įkelkite klientą, o ne redaguokite į jį nurodantį profilį. Profilis nepasikeitė; pasikeitė tik jo skaitoma paslaptis.

Iš naujo prijunkite kiekvieną numatytą įrenginį vieną kartą, sąmoningai, ir stebėkite, kurie nepavyksta. Jei įrenginys ir toliau nepavyksta, pažiūrėkite į paskyrą, į kurią jis nurodo, ir saugyklą, kurią jis skaito, prieš vėl keisdami slaptažodį, nes antras pakeitimas padaugina kopijas, kurias reikia atnaujinti. Įrenginys, kuris nepavyksta du kartus, paprastai nurodo neteisingą paskyrą arba skaito saugyklą, kurios dar neradote. Pataisykite tai, tada prisijunkite iš naujo.

Sesijos ir žetonai išgyvena slaptažodį

Slaptažodžio keitimas neįrodo, kad esamos sesijos ar atskiri sertifikatai buvo atšaukti. Kai kurios paslaugos palaiko sesiją gyvą, kol ji baigiasi arba yra aiškiai nutraukiama, o išduoti žetonai turi savo galiojimo laiką. Patikrinkite, ką paslauga iš tikrųjų daro, o ne manykite, kad pakeitimas buvo globalus. Jei pakeitimą paskatino įtarimas, aiškiai nutraukite sesijas ir patvirtinkite rezultatą.

Prisijungimo informacijos gyvavimo ciklo gairės NIST SP 800-63B laiko autentifikatorius ir sesijas atskirose kategorijose, todėl slaptažodžio keitimas ir visuotinis atsijungimas yra skirtingos operacijos. Traktuokite juos kaip dvi užduotis su dviem užbaigimo kriterijais. Pirmoji baigiama, kai veikia nauja reikšmė, o antroji, kai senų sesijų nebėra.

Užfiksuokite užbaigimą neįrašydami naujo slaptažodžio į įrašą. Rotacijos žurnalas, kuriame yra prisijungimo informacija, yra naujas incidentas, laukiantis bendrame diske. Pažymėkite datą, atnaujintus įrenginius ir dar likusius įrenginius.