എല്ലാ ഉപകരണങ്ങളും ലോക്ക് ഔട്ട് ചെയ്യാതെ VPN പാസ്വേഡ് മാറ്റുക

മൂന്ന് ഫോണുകളും ഒരു റൗട്ടറും ഒരു നിരീക്ഷണ പരിശോധനയും ഇപ്പോഴും പഴയ പാസ്വേഡ് പിടിച്ചിരിക്കുന്നു, അവയിലൊന്ന് എല്ലാ തൊണ്ണൂറ് സെക്കൻഡിലും വീണ്ടും കണക്ട് ചെയ്യുന്നു. അക്കൗണ്ട് പാസ്വേഡ് പത്ത് മിനിറ്റ് മുൻപ് മാറി, അതിനാൽ ആ ക്ലൈന്റുകളിൽ ഓരോന്നും ഇപ്പോൾ സെർവർ നിരസിക്കുന്ന ഒരു മൂല്യം സമർപ്പിക്കുന്നു. അവിടെയാണ് മിത്ത് പൊട്ടുന്നത്: പാസ്വേഡ് മാറ്റം അക്കൗണ്ടിനെ സ്പർശിക്കുന്നു, ഓരോ ഉപകരണത്തിലും ഇരിക്കുന്ന പഴയ മൂല്യത്തിന്റെ പകർപ്പുകളെയല്ല. തുടർന്ന് വരുന്നത് ആ മാറ്റം ചെയ്യാത്ത ജോലിയാണ്.

മിത്ത്: ഒരു മാറ്റം, എല്ലായിടത്തും ഒരുമിച്ച്

പാസ്വേഡ് മാറ്റം എല്ലാം സൈൻ ഔട്ട് ചെയ്ത് വൃത്തിയായ വീണ്ടും ലോഗിൻ നിർബന്ധമാക്കുന്നു എന്നതാണ് വിശ്വാസം. അങ്ങനെയല്ല, കാരണം സെർവർ അവസാനം ഏത് ക്രെഡൻഷ്യൽ സ്വീകരിച്ചു എന്ന് മാത്രം പിന്തുടരുന്നു, ക്ലൈന്റുകൾ സംഭരിച്ചത് പിടിച്ചിരിക്കുമ്പോൾ. സംഭരിച്ച പാസ്വേഡുള്ള ഉപകരണം അത് സ്വന്തം ഷെഡ്യൂൾ അനുസരിച്ച് വീണ്ടും ശ്രമിക്കുന്നു, അക്കൗണ്ട് ലോക്ക് ആണെന്ന് ആരെങ്കിലും ശ്രദ്ധിക്കുന്നതുവരെ നിശബ്ദമായി പരാജയപ്പെടുന്നു. പകർപ്പുകൾ അക്കൗണ്ടിന് പുറത്ത് ജീവിക്കുന്നു എന്ന് സ്വീകരിച്ചാൽ, റൊട്ടേഷൻ ഒരു പ്രവൃത്തിയായി തോന്നുന്നത് നിർത്തുന്നു.

ഇവയൊന്നും റൊട്ടേഷനെതിരെ വാദിക്കുന്നില്ല. സംഭരിച്ച പകർപ്പുകളെ പിന്നീടുള്ള ചിന്തയല്ല, മാറ്റത്തിന്റെ ഭാഗമായി കാണുന്നതിനെ അനുകൂലിക്കുന്നു. ലോക്ക് ഔട്ട് സാധാരണയായി സമാന്തര വീണ്ടും ശ്രമങ്ങളിൽ നിന്നാണ് വരുന്നത്: കൗണ്ടർ പ്രവർത്തിക്കുന്നതുവരെ ഓരോ ഉപകരണവും പഴയ മൂല്യം സ്വന്തം ഷെഡ്യൂൾ അനുസരിച്ച് അയച്ചുകൊണ്ടിരിക്കുന്നു. അപ്പോൾ അക്കൗണ്ട് ആക്രമിക്കപ്പെട്ടതായി തോന്നുന്നു, എന്നാൽ ആരും മാറ്റാത്ത ക്രെഡൻഷ്യലുകൾ മാത്രമാണ് നൽകുന്നത്. ഈ വ്യത്യാസം പ്രധാനമാണ്, കാരണം പരിഹാരം കർശനമായ ലോക്ക് ഔട്ട് നയമല്ല, ഉപകരണങ്ങളുടെ പട്ടികയാണ്.

റൊട്ടേഷന് മുൻപ് പകർപ്പുകൾ ഇൻവെന്ററി ചെയ്യുക

പാസ്വേഡ് ഫോം തുറക്കുന്നതിന് മുൻപ് പട്ടിക എഴുതുക. ഈ അക്കൗണ്ടായി പ്രാമാണീകരിക്കുന്ന ഓരോ ക്ലൈന്റും സ്ക്രിപ്റ്റും ഓട്ടോമേഷനും മാനേജുചെയ്ത പ്രൊഫൈലും പട്ടികപ്പെടുത്തുക: സ്വയം കണക്ട് ചെയ്യുന്ന ഫോൺ, രണ്ട് വർഷം മുൻപ് കോൺഫിഗർ ചെയ്ത റൗട്ടർ, തിങ്കളാഴ്ച മാത്രം ഉണരുന്ന ലാപ്ടോപ്പ്, കൂടാതെ എല്ലാ മിനിറ്റിലും ശ്രമിക്കുന്ന നിരീക്ഷണ പരിശോധന. ഓരോന്നിനും ക്രെഡൻഷ്യൽ എവിടെ സംഭരിച്ചിരിക്കുന്നു, മാറ്റത്തിനിടയിൽ ഉപകരണം എത്താനാകുമോ, വീണ്ടും കണക്ട് ചെയ്യാനാകില്ലെങ്കിൽ ഏത് വീണ്ടെടുപ്പ് വഴിയുണ്ട് എന്ന് എഴുതുക. ഈ പട്ടികയാണ് അപകടകരമായ മാറ്റത്തെ ആസൂത്രിത മാറ്റമാക്കുന്നത്, പഴയ പാസ്വേഡ് പ്രവർത്തിക്കുന്നത് നിർത്തുന്നതിന് മുൻപ് അത് നിലവിലുണ്ടായിരിക്കണം.

ഓഫ്‌ലൈൻ ഉപകരണങ്ങൾ ക്ലാസിക് വിട്ടുപോകലാണ്. അലമാരയിലെ ലാപ്ടോപ്പ് മൂന്ന് ആഴ്ച കഴിഞ്ഞ് തിരികെ വന്ന് ഏറ്റവും മോശം നിമിഷത്തിൽ പഴയ മൂല്യം അവതരിപ്പിക്കുന്നു. അതിന്റെ സ്ഥാനവും ഷെഡ്യൂളും എഴുതുക, കാരണം കാത്തിരിക്കുന്നതിന് പകരം അതിനെ പിന്തുടരേണ്ടിവരും.

ലിനക്സ് കൂട്ടത്തിൽ തിരയൽ ബുദ്ധിമാനല്ല, യാന്ത്രികമാണ്. ക്രെഡൻഷ്യൽ ഫയൽ സൂചിപ്പിക്കുന്ന പ്രൊഫൈലുകൾ തിരയുക, പിന്നെ ക്രെഡൻഷ്യൽ ഫയലുകൾ തന്നെ തിരയുക, കാരണം രണ്ടാമത്തെ പട്ടികയാണ് വീണ്ടും എഴുതേണ്ടത്. ഡെസ്ക്ടോപ്പ് ക്ലൈന്റുകൾക്കും ഫോണുകൾക്കും വ്യായാമം ആവർത്തിക്കുക, അവിടെ സംഭരണം പാതയല്ല, പ്രൊഫൈലോ കീചെയിൻ എൻട്രിയോ ആണ്. ലക്ഷ്യം പ്രവർത്തിക്കാനാകുന്ന പട്ടികയാണ്, എല്ലാ പകർപ്പും കണ്ടെത്തുന്നു എന്ന് അവകാശപ്പെടുന്ന സ്കാനല്ല.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

പകർപ്പുകളെ അവയുടെ ഉടമകളുമായി താരതമ്യം ചെയ്യുക. ആരും അവകാശപ്പെടാത്ത ഉപകരണം ആരും അപ്ഡേറ്റ് ചെയ്യാത്ത ഉപകരണമാണ്, കൂടാതെ വീണ്ടും ശ്രമം തുടരാൻ സാധ്യത ഏറ്റവും കൂടിയതും അതാണ്.

യഥാർത്ഥത്തിൽ ഏത് രഹസ്യമാണ് നിങ്ങൾ തിരിക്കുന്നത്

അക്കൗണ്ട് പാസ്വേഡ് VPN വിന്യാസത്തിലെ ഒരു ക്രെഡൻഷ്യൽ മാത്രമാണ്. കീ പാസ്ഫ്രേസ്, സർട്ടിഫിക്കറ്റ് ഐഡന്റിറ്റി, ഓപ്ഷണൽ പിയർ രഹസ്യം എന്നിവയ്ക്ക് ഓരോന്നിനും സ്വന്തം മാറ്റൽ വഴിയും സ്വന്തം ഉടമയും ഉണ്ട്. അക്കൗണ്ട് പാസ്വേഡ് മാറ്റുന്നത് സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് പ്രാമാണീകരിക്കുന്ന ഉപകരണത്തിന് ഒന്നും ചെയ്യുന്നില്ല, സർട്ടിഫിക്കറ്റ് വീണ്ടും നൽകുന്നത് സംഭരിച്ച പാസ്വേഡുള്ള ക്ലൈന്റിന് ഒന്നും ചെയ്യുന്നില്ല. പരിഹാരത്തെ പേരിടുന്നതിന് മുൻപ് രഹസ്യത്തെ പേരിടുക.

റൊട്ടേഷൻ നയത്താലല്ല, സംശയത്താൽ നയിക്കപ്പെടുന്നുവെങ്കിൽ സംഭവ പ്രക്രിയ സൗകര്യ പദ്ധതിയെ മറികടക്കുന്നു. തെളിവുകൾ ആവശ്യപ്പെടുന്നത് റദ്ദാക്കി ഉപകരണ പട്ടികയിലെ അധിക ജോലി സ്വീകരിക്കുക. ആ തീരുമാനം സംഭവ ഉടമയുടേതാണ്, പാസ്വേഡ് റീസെറ്റ് ഫോം യാദൃച്ഛികമായി പിടിച്ചിരിക്കുന്നവരുടേതല്ല.

സംഭരിച്ച മൂല്യം അത് ജീവിക്കുന്നിടത്ത് തന്നെ മാറ്റുക

സേവനം രേഖപ്പെടുത്തുന്ന സംവിധാനത്തിലൂടെ ക്രെഡൻഷ്യൽ മാറ്റുക, പിന്നെ സംഭരിച്ച പകർപ്പ് അപ്ഡേറ്റ് ചെയ്യുകയോ നിലനിർത്താൻ ഉദ്ദേശിക്കുന്ന ഓരോ ഉപകരണത്തിലും സൈൻ-ഇൻ പ്രവാഹം പ്രവർത്തിപ്പിക്കുകയോ ചെയ്യുക. അത് വീണ്ടും എഴുതുന്ന മാനേജറുടെ പിന്നിലെ ജനറേറ്റ് ചെയ്ത കോൺഫിഗറേഷൻ എഡിറ്റ് ചെയ്യരുത്, കാരണം മാനേജർ അടുത്ത റണ്ണിൽ പഴയ മൂല്യം പുനഃസ്ഥാപിക്കും, എഡിറ്റ് വൈകിയ പരാജയമായി മാറും. മാനേജർ വായിക്കുന്ന ഉറവിടം അപ്ഡേറ്റ് ചെയ്യുക, അല്ലെങ്കിൽ ക്ലൈന്റിന്റെ സ്വന്തം ക്രെഡൻഷ്യൽ സ്റ്റോർ ഉപയോഗിക്കുക. ഏതായാലും, ക്ലൈന്റ് യഥാർത്ഥത്തിൽ വായിക്കുന്ന സ്ഥലത്ത് പുതിയ മൂല്യവുമായി ഉപകരണം അവസാനിക്കണം.

പാസ്വേഡ് ഫയൽ സംഭരിക്കുന്ന ക്ലൈന്റിന് ഫയൽ വീണ്ടും എഴുതേണ്ടതുണ്ട്, ചോദിക്കുന്ന ക്ലൈന്റിന് പൂർത്തിയായ സൈൻ-ഇൻ വേണം. NetworkManager രഹസ്യം കണക്ഷൻ പ്രൊഫൈലിനുള്ളിൽ സൂക്ഷിക്കുന്നു, അതിനാൽ മാറ്റം ടെക്സ്റ്റ് എഡിറ്ററിലൂടെയല്ല, nmcli വഴിയാണ് പോകുന്നത്:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

ക്രെഡൻഷ്യൽ ഫയൽ വായിക്കുന്ന പ്രൊഫൈൽ മൂന്നാമത്തെ കേസാണ്. ആ ഫയലിന്റെ ഉള്ളടക്കം മാറ്റുക, അതിന്റെ അനുമതികൾ അടച്ചിടുക, അതിലേക്ക് ചൂണ്ടുന്ന പ്രൊഫൈൽ എഡിറ്റ് ചെയ്യുന്നതിന് പകരം ക്ലൈന്റ് വീണ്ടും ലോഡ് ചെയ്യുക. പ്രൊഫൈൽ മാറിയില്ല; അത് വായിക്കുന്ന രഹസ്യം മാത്രം മാറി.

ഓരോ ഉദ്ദേശിത ഉപകരണവും ഒരിക്കൽ ബോധപൂർവം വീണ്ടും കണക്ട് ചെയ്ത് ഏതൊക്കെ പരാജയപ്പെടുന്നു എന്ന് നോക്കുക. ഉപകരണം പരാജയപ്പെട്ടുകൊണ്ടിരുന്നാൽ, പാസ്വേഡ് വീണ്ടും മാറ്റുന്നതിന് മുൻപ് അത് ചൂണ്ടുന്ന അക്കൗണ്ടും വായിക്കുന്ന സ്റ്റോറും നോക്കുക, കാരണം രണ്ടാമത്തെ മാറ്റം അപ്ഡേറ്റ് ചെയ്യേണ്ട പകർപ്പുകൾ വർദ്ധിപ്പിക്കുന്നു. രണ്ടുതവണ പരാജയപ്പെടുന്ന ഉപകരണം സാധാരണയായി തെറ്റായ അക്കൗണ്ടിലേക്ക് ചൂണ്ടുന്നു അല്ലെങ്കിൽ നിങ്ങൾ ഇതുവരെ കണ്ടെത്താത്ത ഒരു സ്റ്റോർ വായിക്കുന്നു. അത് ശരിയാക്കി, പിന്നെ വീണ്ടും കണക്ട് ചെയ്യുക.

സെഷനുകളും ടോക്കണുകളും പാസ്വേഡിനെക്കാൾ അധികം ജീവിക്കുന്നു

പാസ്വേഡ് മാറ്റുന്നത് നിലവിലുള്ള സെഷനുകളോ വേറിട്ട സർട്ടിഫിക്കറ്റുകളോ റദ്ദാക്കിയെന്ന് തെളിയിക്കുന്നില്ല. ചില സേവനങ്ങൾ സെഷൻ കാലഹരണപ്പെടുന്നതുവരെയോ വ്യക്തമായി അവസാനിപ്പിക്കുന്നതുവരെയോ ജീവനോടെ സൂക്ഷിക്കുന്നു, പുറപ്പെടുവിച്ച ടോക്കണുകൾക്ക് സ്വന്തം ആയുസ്സുണ്ട്. മാറ്റം ആഗോളമായിരുന്നു എന്ന് അനുമാനിക്കാതെ സേവനം യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു എന്ന് പരിശോധിക്കുക. മാറ്റം സംശയത്താൽ നയിക്കപ്പെട്ടതാണെങ്കിൽ സെഷനുകൾ വ്യക്തമായി അവസാനിപ്പിച്ച് ഫലം സ്ഥിരീകരിക്കുക.

NIST SP 800-63B-യിലെ ക്രെഡൻഷ്യൽ ജീവിതചക്ര മാർഗ്ഗനിർദ്ദേശം പ്രാമാണീകരണകാരെയും സെഷനുകളെയും വേറിട്ട വിഭാഗങ്ങളിൽ സൂക്ഷിക്കുന്നു, അതുകൊണ്ടാണ് പാസ്വേഡ് മാറ്റവും ആഗോള ലോഗ് ഔട്ടും വ്യത്യസ്ത പ്രവർത്തനങ്ങളാകുന്നത്. രണ്ട് പൂർത്തീകരണ മാനദണ്ഡങ്ങളുള്ള രണ്ട് ജോലികളായി അവയെ കാണുക. ആദ്യത്തേത് പുതിയ മൂല്യം പ്രവർത്തിക്കുമ്പോൾ അവസാനിക്കുന്നു, രണ്ടാമത്തേത് പഴയ സെഷനുകൾ പോയിക്കഴിയുമ്പോൾ അവസാനിക്കുന്നു.

പുതിയ പാസ്വേഡ് രേഖയിൽ എഴുതാതെ പൂർത്തീകരണം രേഖപ്പെടുത്തുക. ക്രെഡൻഷ്യൽ അടങ്ങുന്ന റൊട്ടേഷൻ ലോഗ് പങ്കിട്ട ഡ്രൈവിൽ കാത്തിരിക്കുന്ന പുതിയ സംഭവമാണ്. തീയതി, അപ്ഡേറ്റ് ചെയ്ത ഉപകരണങ്ങൾ, ഇനിയും ബാക്കിയുള്ള ഉപകരണങ്ങൾ എന്നിവ എഴുതുക.