Промена на VPN лозинка без заклучување на сите уреди

Три телефони, рутер и една проверка за надзор сѐ уште ја држат старата лозинка, а еден од нив повторно се поврзува на секои деведесет секунди. Лозинката на сметката е сменета пред десет минути, па секој од тие клиенти сега поднесува вредност што серверот ја одбива. Тогаш митот се крши: промената на лозинката ја допира сметката, а не копиите од старата вредност на секој уред. Она што следува е работата што промената не ја завршила.

Митот: една промена, насекаде одеднаш

Верувањето е дека промената на лозинката сѐ одјавува и наложува чисто ново најавување. Тоа не е така, бидејќи серверот следи само кои акредитиви последни ги прифатил, додека клиентите го држат она што го зачувале. Уред со зачувана лозинка ја повторува според својот распоред и тивко не успева додека некој не забележи дека сметката е заклучена. Кога ќе прифатите дека копиите живеат надвор од сметката, ротацијата престанува да изгледа како една акција.

Ништо од ова не е аргумент против ротацијата. Тоа е аргумент зачуваните копии да се третираат како дел од промената, а не како подоцнежна мисла. Заклучувањето обично доаѓа од паралелни повторувања: секој уред продолжува да ја испраќа старата вредност според својот распоред додека бројачот не се активира. Тогаш сметката изгледа нападната, а всушност само ѝ се нудат акредитиви што никој не ги заменил. Таа разлика е важна, бидејќи решението е список на уреди, а не построга политика за заклучување.

Пописете ги копиите пред ротацијата

Напишете го пописот пред да ја отворите формата за лозинка. Наведете го секој клиент, скрипта, автоматизација и управуван профил што се автентицира како оваа сметка: телефонот што се поврзува сам, рутерот конфигуриран пред две години, преносниот сметач што се буди само понеделник и проверката за надзор што обидува секоја минута. За секој запишете каде се чуваат акредитивите, дали уредот е достапен за време на промената и кој пат за обновување постои ако не може повторно да се поврзе. Токму овој список ја претвора ризичната промена во планирана и мора да постои пред старата лозинка да престане да работи.

Офлајн уредите се класичен пропуст. Преносен сметач во фиока се враќа три недели подоцна и ја претставува застарената вредност во најлошиот момент. Запишете ја и неговата локација и распоред, бидејќи ќе треба да го бркате наместо да го чекате.

Во Linux флотата пребарувањето е механичко, а не паметно. Барајте профили што упатуваат на датотека со акредитиви, потоа самите датотеки со акредитиви, бидејќи вториот список е тој што треба да се препише. Повторете ја вежбата за десктоп клиенти и телефони, каде складиштето е профил или запис во приврзок за клучеви, а не патека. Целта е список по кој можете да работите, а не скенирање што тврди дека ја наоѓа секоја копија.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Мерете ги копиите наспроти луѓето што ги поседуваат. Уредот што никој не го бара е уред што никој нема да го ажурира, и токму тој најверојатно ќе продолжи со повторувањата.

Кое тајно го ротирате всушност

Лозинката на сметката е само едни акредитиви во VPN распоредување. Фразата за клуч, идентитетот на сертификат и изборната тајна на партнерот имаат свој пат за замена и свој сопственик. Промената на лозинката на сметката не прави ништо за уред што се автентицира со сертификат, а повторното издавање сертификат не прави ништо за клиент со зачувана лозинка. Именувајте ја тајната пред да го именувате решението.

Ако ротацијата е водена од сомнеж, а не од политика, процесот за инцидент има предност пред планот за удобност. Отповикајте што бараат доказите и прифатете ја дополнителната работа на списокот со уреди. Таа одлука му припаѓа на сопственикот на инцидентот, а не на тој што случајно ја држи формата за ресетирање лозинка.

Заменете ја зачуваната вредност таму каде што живее

Сменете ги акредитивите преку механизмот што услугата го документира, потоа ажурирајте ја зачуваната копија или извршете го текот за најавување на секој уред што имате намера да го задржите. Не уредувајте генерирана конфигурација зад менаџер што ја препишува, бидејќи менаџерот ја враќа постарата вредност при следното извршување и уредувањето станува одложен дефект. Ажурирајте го изворот што менаџерот го чита или користете го сопственото складиште за акредитиви на клиентот. Како и да е, уредот мора да заврши со новата вредност на местото што клиентот навистина го чита.

Клиентот што чува датотека со лозинка бара препишана датотека, додека клиентот што пращува бара завршена најава. NetworkManager ја држи тајната во профилот за врска, па промената оди преку nmcli, а не преку текстуален уредувач:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Профилот што чита датотека со акредитиви е трет случај. Заменете ја содржината на таа датотека, држете ги нејзините дозволи затворени и вчитајте го клиентот повторно наместо да го уредувате профилот што упатува на неа. Профилот не се смени; се смени само тајната што ја чита.

Поврзете го повторно секој предвиден уред еднаш, свесно, и гледајте кои не успеваат. Ако уредот продолжува да не успева, погледнете ја сметката на која упатува и складиштето што го чита пред повторно да ја смените лозинката, бидејќи втората промена ги умножува копиите што треба да се ажурираат. Уред што не успева двапати обично упатува на погрешна сметка или чита складиште што сѐ уште не сте го нашле. Поправете го тоа, потоа поврзете се повторно.

Сесиите и токените ја надживуваат лозинката

Промената на лозинката не докажува дека постојните сесии или одделните сертификати се отповикани. Некои услуги држат сесија жива додека не истече или не биде изречно прекината, а издадените токени носат свој рок на траење. Проверете што услугата всушност прави наместо да претпоставите дека промената била глобална. Ако промената е водена од сомнеж, прекинете ги сесиите изречно и потврдете го резултатот.

Упатството за животниот циклус на акредитивите во NIST SP 800-63B ги држи автентикаторите и сесиите во одделни категории, затоа промената на лозинка и глобалното одјавување се различни операции. Третирајте ги како две задачи со два критериума за завршување. Првата завршува кога новата вредност работи, а втората кога старите сесии ги нема.

Забележете го завршувањето без да ја запишете новата лозинка во записот. Дневникот за ротација што ги содржи акредитивите е нов инцидент што чека на споделен диск. Запишете го датумот, ажурираните уреди и уредите што сѐ уште недостасуваат.