Бүх төхөөрөмжийг түгжихгүйгээр VPN нууц үгийг солих

Гурван утас, нэг чиглүүлэгч болон нэг хяналтын шалгалт хуучин нууц үгийг хадсаар байна, тэдний нэг нь ерэн секунд тутам дахин холбогддог. Бүртгэлийн нууц үг арав минутын өмнө солигдсон тул эдгээр клиент бүр серверийн татгалзсан утгыг илгээж байна. Яг тэр мөчид домог эвдэрнэ: нууц үг солих нь бүртгэлд хүрнэ, төхөөрөмж бүр дээрх хуучин утгын хуулбарт биш. Үүний дараа солилт хийж чадаагүй ажил ирнэ.

Домог: нэг солилт, хаа сайгүй нэгэн зэрэг

Нууц үг солих нь бүгдийг гаргаж, цэвэр дахин нэвтрэхийг шаарддаг гэсэн итгэл байдаг. Тийм биш, учир нь сервер зөвхөн хамгийн сүүлд аль итгэмжлэлийг хүлээж авсныг хянадаг бол клиентүүд хадгалснаа барьдаг. Хадгалагдсан нууц үгтэй төхөөрөмж үүнийг өөрийн хуваарийн дагуу дахин оролдож, хэн нэгэн бүртгэл түгжигдсэнийг анзаарах хүртэл чимээгүй бүтэлгүйтдэг. Хуулбарууд бүртгэлээс гадна амьдардаг гэдгийг хүлээн авбал ротаци нэг үйлдэл мэт харагдахаа болино.

Эдгээрийн аль нь ч ротацийн эсрэг биш. Энэ нь хадгалагдсан хуулбарыг дараагийн бодол биш, өөрчлөлтийн хэсэг гэж үзэхийг дэмждэг. Түгжилт нь ихэвчлэн зэрэгцээ дахин оролдлогоос үүсдэг: төхөөрөмж бүр тоолуур ажиллах хүртэл хуучин утгыг өөрийн хуваарийн дагуу илгээсээр байдаг. Тэгвэл бүртгэл халдлагад өртсөн мэт харагдана, гэвч түүнд хэн ч солиогүй итгэмжлэл санал болгож байгаа юм. Энэ ялгаа чухал, учир нь шийдэл нь илүү хатуу түгжих бодлого биш, төхөөрөмжийн жагсаалт.

Ротацийн өмнө хуулбарыг тооллого хийнэ

Нууц үгийн маягтыг нээхийн өмнө жагсаалтыг бич. Энэ бүртгэлээр баталгаажих клиент, скрипт, автоматжуулалт, удирддаг профайл бүрийг жагсаа: өөрөө холбогддог утас, хоёр жилийн өмнө тохируулсан чиглүүлэгч, зөвхөн даваа гаригт сэрдэг зөөврийн компьютер, болон минут тутам оролддог хяналтын шалгалт. Тус бүрд нь итгэмжлэл хаана хадгалагдаж байгаа, өөрчлөлтийн үеэр төхөөрөмжид хүрэх боломжтой эсэх, дахин холбогдож чадахгүй бол ямар сэргээх зам байгааг бич. Энэ жагсаалт эрсдэлтэй өөрчлөлтийг төлөвлөсөн өөрчлөлт болгож, хуучин нууц үг ажиллахаа болихоос өмнө байх ёстой.

Офлайн төхөөрөмж бол сонгодог алдаа. Шурган дахь зөөврийн компьютер гурван долоо хоногийн дараа буцаж ирээд хуучирсан утгыг хамгийн муу мөчид танилцуулдаг. Байршил, хуваарийг нь ч бич, учир нь хүлээх биш, мөшгих хэрэгтэй болно.

Linux флотод хайлт нь ухаалаг биш, механик. Итгэмжлэлийн файлд заасан профайлыг хай, дараа нь итгэмжлэлийн файлуудыг өөрсдийг нь хай, учир нь дахин бичих ёстой нь хоёр дахь жагсаалт. Ширээний клиент, утсанд ч дасгалыг давт, тэнд хадгалалт нь зам биш, профайл эсвэл түлхүүрийн оосрын бичлэг. Зорилго нь ажиллаж болох жагсаалт, хуулбар бүрийг олдог гэж мэдэгддэг скан биш.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Хуулбарыг тэдний эзэдтэй харьцуул. Хэн ч шаардаагүй төхөөрөмжийг хэн ч шинэчлэхгүй, мөн дахин оролдлогыг үргэлжлүүлэх магадлал хамгийн өндөр нь тэр.

Та яг ямар нууцыг эргүүлж байна

Бүртгэлийн нууц үг нь VPN байршуулалтын зөвхөн нэг итгэмжлэл. Түлхүүрийн нууц үг, гэрчилгээний таних мэдээлэл, сонголтот хамтрагчийн нууц тус бүр өөрийн солих зам, өөрийн эзэнтэй. Бүртгэлийн нууц үгийг солих нь гэрчилгээгээр баталгааждаг төхөөрөмжид юу ч хийхгүй, гэрчилгээг дахин олгох нь хадгалагдсан нууц үгтэй клиентэд юу ч хийхгүй. Шийдлийг нэрлэхийн өмнө нууцыг нэрлэ.

Хэрэв ротаци бодлогоос биш, сэжигээс үүдэлтэй бол ослын процесс тав тухыг төлөвлөгөөнөөс давна. Нотолгооны шаардсаныг хүчингүй болгож, төхөөрөмжийн жагсаалтын нэмэлт ажлыг хүлээж ав. Энэ шийдвэр ослын эзэнд хамааралтай, нууц үг сэргээх маягтыг санамсаргүй барьж байгаа хүнд биш.

Хадгалсан утгыг амьдардаг газарт нь соль

Үйлчилгээний баримтжуулсан механизмаар итгэмжлэлийг соль, дараа нь хадгалагдсан хуулбарыг шинэчил эсвэл үлдээхээр төлөвлөж буй төхөөрөмж бүрд нэвтрэх урсгалыг ажиллуул. Үүнийг дахин бичдэг менежерийн ард байгаа үүсгэсэн тохиргоог засварлаж болохгүй, учир нь менежер дараагийн ажиллагаанд хуучин утгыг сэргээж, засвар нь хойшлогдсон гэмтэл болно. Менежерийн уншиж буй эх сурвалжийг шинэчил эсвэл клиентийн өөрийн итгэмжлэлийн санг ашигла. Ямар ч байсан, төхөөрөмж клиент үнэхээр уншдаг газарт шинэ утгатайгаар дуусах ёстой.

Нууц үгийн файл хадгалдаг клиент файлыг дахин бичих шаардлагатай бол асуудаг клиент бүрэн нэвтрэлт шаардна. NetworkManager нууцыг холболтын профайл дотор хадгалдаг тул солилт нь текст засварлагчаар биш, nmcli-ээр дамждаг:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Итгэмжлэлийн файл уншдаг профайл бол гурав дахь тохиолдол. Тэр файлын агуулгыг сольж, зөвшөөрлүүдийг нь хаалттай байлгаж, түүн рүү заасан профайлыг засварлахын оронд клиентийг дахин ачаал. Профайл өөрчлөгдөөгүй; зөвхөн түүний уншдаг нууц өөрчлөгдсөн.

Зориулсан төхөөрөмж бүрийг нэг удаа санаатайгаар дахин холбож, аль нь бүтэлгүйтэж байгааг ажигла. Төхөөрөмж үргэлжлүүлэн бүтэлгүйтвэл, нууц үгийг дахин солихоос өмнө түүний заасан бүртгэл болон уншиж буй санг хар, учир нь хоёр дахь солилт шинэчлэх хуулбарыг үржүүлнэ. Хоёр удаа бүтэлгүйтдэг төхөөрөмж ихэвчлэн буруу бүртгэл рүү заадаг эсвэл та одоо хүртэл олоогүй санг уншдаг. Үүнийг засаад, дараа нь дахин холбогд.

Сесс ба токенууд нууц үгээс урт насалдаг

Нууц үг солих нь одоо байгаа сесс эсвэл тусдаа гэрчилгээ хүчингүй болсныг нотолдоггүй. Зарим үйлчилгээ сессийг дуусах эсвэл тодорхой зогсоох хүртэл амьд байлгадаг, олгосон токенууд өөрийн насжилттай. Өөрчлөлт глобал байсан гэж таамаглахын оронд үйлчилгээ үнэхээр юу хийдгийг шалга. Хэрэв өөрчлөлт сэжигээс үүдэлтэй бол сессүүдийг тодорхой зогсоож, үр дүнг батал.

NIST SP 800-63B дахь итгэмжлэлийн амьдралын мөчлөгийн удирдамж нь баталгаажуулагч ба сессийг тусдаа ангилалд байлгадаг тул нууц үг солих ба глобал гарах нь өөр үйлдэл юм. Тэдгээрийг хоёр дуусах шалгууртай хоёр ажил гэж үз. Эхнийх нь шинэ утга ажиллах үед дуусна, хоёр дахь нь хуучин сессүүд алга болох үед дуусна.

Шинэ нууц үгийг бүртгэлд бичихгүйгээр дуусгалыг тэмдэглэ. Итгэмжлэлийг агуулсан ротацийн лог нь хуваалцсан диск дээр хүлээж буй шинэ осол. Огноо, шинэчилсэн төхөөрөмж, одоо ч үлдсэн төхөөрөмжийг бич.