Tukar kata laluan VPN tanpa mengunci semua peranti

Tiga telefon, satu penghala dan satu semakan pemantauan masih memegang kata laluan lama, dan salah satunya menyambung semula setiap sembilan puluh saat. Kata laluan akaun ditukar sepuluh minit lalu, jadi setiap klien itu kini menghantar nilai yang ditolak pelayan. Di situlah mitos itu pecah: perubahan kata laluan menyentuh akaun, bukan salinan nilai lama yang duduk pada setiap peranti. Apa yang menyusul ialah kerja yang tidak dilakukan oleh perubahan itu.

Mitos: satu perubahan, di mana-mana serentak

Kepercayaan ialah perubahan kata laluan mengeluarkan semua sesi dan memaksa log masuk semula yang bersih. Ia tidak berlaku, kerana pelayan hanya menjejaki kelayakan mana yang terakhir diterima, manakala klien menyimpan apa sahaja yang mereka simpan. Peranti dengan kata laluan tersimpan mencubanya semula mengikut jadualnya sendiri dan gagal secara senyap sehingga seseorang menyedari akaun dikunci. Sebaik anda menerima bahawa salinan hidup di luar akaun, putaran berhenti kelihatan seperti satu tindakan.

Tiada satu pun daripada itu membantah putaran. Ia menyokong memperlakukan salinan tersimpan sebagai sebahagian daripada perubahan, bukan sebagai fikiran kemudian. Penguncian biasanya datang daripada cubaan semula selari: setiap peranti terus menghantar nilai lama mengikut jadualnya sehingga pembilang tercetus. Akaun kemudian kelihatan diserang sedangkan ia hanya ditawarkan kelayakan yang tiada siapa ganti. Perbezaan itu penting, kerana penyelesaiannya ialah senarai peranti, bukan dasar penguncian yang lebih ketat.

Inventori salinan sebelum putaran

Tulis inventori sebelum anda membuka borang kata laluan. Senaraikan setiap klien, skrip, automasi dan profil terurus yang mengesahkan sebagai akaun ini: telefon yang menyambung sendiri, penghala yang dikonfigurasi dua tahun lalu, komputer riba yang hanya bangun pada hari Isnin, dan semakan pemantauan yang mencuba setiap minit. Bagi setiap satu, catat di mana kelayakan disimpan, sama ada peranti boleh dicapai semasa perubahan, dan laluan pemulihan apa yang ada jika ia tidak dapat menyambung semula. Senarai itulah yang menukar perubahan berisiko menjadi perubahan berjadual, dan ia mesti wujud sebelum kata laluan lama berhenti berfungsi.

Peranti luar talian ialah kelalaian klasik. Komputer riba dalam laci kembali tiga minggu kemudian dan mengemukakan nilai lapuk pada saat paling buruk. Catat lokasi dan jadualnya juga, kerana anda perlu mengejarnya dan bukannya menunggunya.

Dalam armada Linux, carian bersifat mekanikal dan bukan pintar. Cari profil yang merujuk fail kelayakan, kemudian cari fail kelayakan itu sendiri, kerana senarai kedua itulah yang perlu ditulis semula. Ulangi latihan untuk klien desktop dan telefon, di mana storan ialah profil atau entri rantai kunci dan bukan laluan. Matlamatnya ialah senarai yang boleh anda kerjakan, bukan imbasan yang mendakwa menemui setiap salinan.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Ukur salinan terhadap orang yang memilikinya. Peranti yang tiada siapa tuntut ialah peranti yang tiada siapa akan kemas kini, dan itulah juga yang paling mungkin terus mencuba semula.

Rahsia mana yang sebenarnya anda putar

Kata laluan akaun hanyalah satu kelayakan dalam penggunaan VPN. Frasa laluan kunci, identiti sijil dan rahsia rakan sebaya pilihan masing-masing mempunyai laluan penggantian dan pemiliknya sendiri. Menukar kata laluan akaun tidak memberi kesan kepada peranti yang mengesahkan dengan sijil, dan mengeluarkan semula sijil tidak memberi kesan kepada klien yang menyimpan kata laluan. Namakan rahsia itu sebelum menamakan penyelesaiannya.

Jika putaran didorong syak wasangka dan bukan dasar, proses insiden mengatasi pelan kemudahan. Batalkan apa yang dituntut oleh bukti dan terima kerja tambahan pada senarai peranti. Keputusan itu milik pemilik insiden, bukan milik sesiapa yang kebetulan memegang borang set semula kata laluan.

Gantikan nilai tersimpan di tempat ia tinggal

Tukar kelayakan melalui mekanisme yang didokumenkan oleh perkhidmatan, kemudian kemas kini salinan tersimpan atau jalankan aliran log masuk pada setiap peranti yang anda mahu kekalkan. Jangan sunting konfigurasi yang dijana di belakang pengurus yang menulis semulanya, kerana pengurus memulihkan nilai yang lebih lama pada larian seterusnya dan suntingan itu menjadi kegagalan tertunda. Kemas kini sumber yang dibaca pengurus, atau gunakan storan kelayakan klien itu sendiri. Apa pun caranya, peranti mesti berakhir dengan nilai baharu di tempat yang benar-benar dibaca oleh klien.

Klien yang menyimpan fail kata laluan memerlukan fail itu ditulis semula, manakala klien yang bertanya memerlukan log masuk yang lengkap. NetworkManager menyimpan rahsia di dalam profil sambungan, jadi perubahan itu melalui nmcli dan bukan penyunting teks:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profil yang membaca fail kelayakan ialah kes ketiga. Gantikan kandungan fail itu, biarkan kebenarannya tertutup, dan muat semula klien dan bukannya menyunting profil yang menunjuk kepadanya. Profil itu tidak berubah; hanya rahsia yang dibacanya berubah.

Sambung semula setiap peranti yang dimaksudkan sekali, dengan sengaja, dan lihat mana yang gagal. Jika peranti terus gagal, lihat akaun yang ditujunya dan storan yang dibacanya sebelum menukar kata laluan lagi, kerana perubahan kedua menggandakan salinan yang perlu dikemas kini. Peranti yang gagal dua kali biasanya menunjuk ke akaun yang salah atau membaca storan yang belum anda temui. Betulkan itu, kemudian sambung semula.

Sesi dan token hidup lebih lama daripada kata laluan

Menukar kata laluan tidak membuktikan sesi sedia ada atau sijil berasingan telah dibatalkan. Sesetengah perkhidmatan mengekalkan sesi hidup sehingga ia tamat tempoh atau ditamatkan secara jelas, dan token yang dikeluarkan membawa jangka hayatnya sendiri. Periksa apa yang sebenarnya dilakukan perkhidmatan itu dan bukannya menganggap perubahan itu global. Jika perubahan itu didorong syak wasangka, tamatkan sesi secara jelas dan sahkan hasilnya.

Panduan kitaran hayat kelayakan dalam NIST SP 800-63B mengekalkan pengesah dan sesi dalam kategori berasingan, itulah sebabnya perubahan kata laluan dan log keluar global ialah dua operasi berbeza. Perlakukan kedua-duanya sebagai dua tugas dengan dua kriteria penyiapan. Yang pertama selesai apabila nilai baharu berfungsi, dan yang kedua selesai apabila sesi lama hilang.

Catat penyiapan tanpa menulis kata laluan baharu ke dalam rekod. Log putaran yang mengandungi kelayakan ialah insiden baharu yang menunggu pada cakera kongsi. Catat tarikh, peranti yang dikemas kini dan peranti yang masih tertunggak.