Mainīt VPN paroli, nebloķējot visas ierīces

Trīs tālruņi, maršrutētājs un viena uzraudzības pārbaude joprojām tur veco paroli, un viens no tiem ik deviņdesmit sekundēm pieslēdzas no jauna. Konta parole tika nomainīta pirms desmit minūtēm, tāpēc katrs no šiem klientiem tagad sūta vērtību, ko serveris noraida. Tieši tad mīts saplīst: paroles maiņa skar kontu, nevis vecās vērtības kopijas katrā ierīcē. Tālāk seko darbs, ko maiņa neveica.

Mīts: viena maiņa, visur vienlaikus

Tiek uzskatīts, ka paroles maiņa visu izlogo un liek tīri pierakstīties no jauna. Tā nav, jo serveris seko tikai tam, kuru akreditācijas datu kopu tas pēdējo reizi pieņēma, bet klienti patur to, ko saglabāja. Ierīce ar saglabātu paroli mēģina to atkārtoti pēc sava grafika un klusi cieš neveiksmi, līdz kāds pamana, ka konts ir bloķēts. Kad pieņem, ka kopijas dzīvo ārpus konta, rotācija vairs neizskatās pēc vienas darbības.

Nekas no tā nav arguments pret rotāciju. Tas ir arguments saglabātās kopijas uzskatīt par maiņas daļu, nevis par vēlāku domu. Bloķēšana parasti nāk no paralēliem atkārtojumiem: katra ierīce turpina sūtīt veco vērtību pēc sava grafika, līdz skaitītājs iedarbojas. Tad konts izskatās uzbrukts, lai gan tam tiek piedāvāti tikai akreditācijas dati, ko neviens nav aizstājis. Šī atšķirība ir svarīga, jo risinājums ir ierīču saraksts, nevis stingrāka bloķēšanas politika.

Uzskaitiet kopijas pirms rotācijas

Uzrakstiet sarakstu pirms paroles formas atvēršanas. Uzskaitiet katru klientu, skriptu, automatizāciju un pārvaldīto profilu, kas autentificējas kā šis konts: tālruni, kas pieslēdzas pats, maršrutētāju, kas konfigurēts pirms diviem gadiem, portatīvo datoru, kas pamostas tikai pirmdienās, un uzraudzības pārbaudi, kas mēģina katru minūti. Katram atzīmējiet, kur glabājas akreditācijas dati, vai ierīce ir sasniedzama maiņas laikā un kāds atkopšanas ceļš pastāv, ja tā nevar pieslēgties no jauna. Šis saraksts pārvērš riskantu maiņu plānotā, un tam jāpastāv pirms vecā parole pārstāj darboties.

Bezsaistes ierīces ir klasiskā izlaidība. Portatīvais dators atvilktnē atgriežas pēc trim nedēļām un uzrāda novecojušo vērtību sliktākajā brīdī. Atzīmējiet arī tā atrašanās vietu un grafiku, jo jums tas būs jādzenas, nevis jāgaida.

Linux parkā meklēšana ir mehāniska, nevis gudra. Meklējiet profilus, kas atsaucas uz akreditācijas datu failu, pēc tam pašus akreditācijas datu failus, jo tieši otrais saraksts ir jāpārraksta. Atkārtojiet vingrinājumu galddatoru klientiem un tālruņiem, kur glabātuve ir profils vai atslēgu saišķa ieraksts, nevis ceļš. Mērķis ir saraksts, ar ko var strādāt, nevis skenēšana, kas apgalvo, ka atrod katru kopiju.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Salīdziniet kopijas ar cilvēkiem, kuriem tās pieder. Ierīce, uz kuru neviens nepretendē, ir ierīce, kuru neviens neatjauninās, un tieši tā visdrīzāk turpinās atkārtošanu.

Kādu noslēpumu jūs patiešām rotējat

Konta parole ir tikai viena akreditācijas datu kopa VPN izvietojumā. Atslēgas paroles frāze, sertifikāta identitāte un neobligāts partnera noslēpums katram ir savs aizstāšanas ceļš un savs īpašnieks. Konta paroles maiņa neko nedara ierīcei, kas autentificējas ar sertifikātu, un sertifikāta atkārtota izsniegšana neko nedara klientam ar saglabātu paroli. Nosauciet noslēpumu pirms risinājuma nosaukšanas.

Ja rotāciju virza aizdomas, nevis politika, incidenta process pārspēj ērtības plānu. Atsauciet to, ko prasa pierādījumi, un pieņemiet papildu darbu ar ierīču sarakstu. Šis lēmums pieder incidenta īpašniekam, nevis tam, kuram nejauši ir paroles atiestatīšanas forma.

Aizstājiet saglabāto vērtību tur, kur tā dzīvo

Mainiet akreditācijas datus ar mehānismu, ko serviss dokumentē, pēc tam atjauniniet saglabāto kopiju vai palaidiet pieteikšanās plūsmu katrā ierīcē, kuru plānojat paturēt. Nerediģējiet ģenerētu konfigurāciju aiz pārvaldnieka, kas to pārraksta, jo pārvaldnieks nākamajā palaišanā atjauno vecāko vērtību un rediģējums kļūst par aizkavētu kļūmi. Atjauniniet avotu, ko lasa pārvaldnieks, vai izmantojiet klienta paša akreditācijas datu glabātuvi. Jebkurā gadījumā ierīcei jābeidz ar jauno vērtību tajā vietā, ko klients patiešām lasa.

Klientam, kas glabā paroles failu, nepieciešams pārrakstīts fails, savukārt klientam, kas jautā, nepieciešama pabeigta pieteikšanās. NetworkManager tur noslēpumu savienojuma profilā, tāpēc maiņa iet caur nmcli, nevis teksta redaktoru:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profils, kas lasa akreditācijas datu failu, ir trešais gadījums. Aizstājiet šī faila saturu, paturiet tā atļaujas slēgtas un pārlādējiet klientu, nevis rediģējiet profilu, kas uz to norāda. Profils nav mainījies; mainījies ir tikai noslēpums, ko tas lasa.

Pieslēdziet no jauna katru paredzēto ierīci vienreiz, apzināti, un vērojiet, kuras cieš neveiksmi. Ja ierīce turpina ciest neveiksmi, apskatiet kontu, uz kuru tā norāda, un glabātuvi, ko tā lasa, pirms vēlreiz mainīt paroli, jo otra maiņa vairakkāršo kopijas, kas jāatjaunina. Ierīce, kas cieš neveiksmi divreiz, parasti norāda uz nepareizu kontu vai lasa glabātuvi, kuru vēl neesat atradis. Izlabojiet to, pēc tam pieslēdzieties no jauna.

Sesijas un pilnvaras pārdzīvo paroli

Paroles maiņa nepierāda, ka esošās sesijas vai atsevišķi sertifikāti ir atsaukti. Daži servisi uztur sesiju dzīvu, līdz tā beidzas vai tiek skaidri pārtraukta, un izsniegtajām pilnvarām ir savs kalpošanas laiks. Pārbaudiet, ko serviss patiešām dara, nevis pieņemiet, ka maiņa bija globāla. Ja maiņu virzīja aizdomas, skaidri pārtrauciet sesijas un apstipriniet rezultātu.

Akreditācijas datu dzīves cikla vadlīnijas NIST SP 800-63B tur autentifikatorus un sesijas atsevišķās kategorijās, tāpēc paroles maiņa un globāla izrakstīšanās ir dažādas operācijas. Uztveriet tās kā divus uzdevumus ar diviem pabeigšanas kritērijiem. Pirmais beidzas, kad darbojas jaunā vērtība, bet otrais — kad vecās sesijas ir pazudušas.

Reģistrējiet pabeigšanu, neierakstot jauno paroli ierakstā. Rotācijas žurnāls, kas satur akreditācijas datus, ir jauns incidents, kas gaida koplietotā diskā. Atzīmējiet datumu, atjauninātās ierīces un vēl atlikušās ierīces.