Biddel il-password tal-VPN mingħajr ma ssakkar kull apparat

Tliet telefowns, router u verifika ta’ monitoraġġ għadhom iżommu l-password antika, u waħda minnhom terġa’ tikkonnettja kull disgħin sekonda. Il-password tal-kont inbidlet għaxar minuti ilu, allura kull wieħed minn dawk il-klijenti issa qed jissottometti valur li s-server jirrifjuta. Dak huwa l-mument li fih il-mit jinkiser: bidla fil-password tmiss il-kont, mhux ix-xbihat tal-valur antik li jinsabu fuq kull apparat. Dak li jiġi wara huwa x-xogħol li l-bidla ma għamlitx.

Il-mit: bidla waħda, kullimkien f’daqqa

It-twemmin huwa li bidla fil-password toħroġ kollox u ġġiegħel login mill-ġdid nadif. Dan ma jiġrix, għax is-server isegwi biss liema kredenzjali aċċetta l-aħħar, filwaqt li l-klijenti jżommu dak li ħażnu. Apparat b’password maħżuna jerġa’ jippruvaha skont l-iskeda tiegħu u jonqos bil-kwiet sakemm xi ħadd jinnota li l-kont huwa msakkar. Ladarba taċċetta li x-xbihat jgħixu barra mill-kont, ir-rotazzjoni tieqaf tidher bħala azzjoni waħda.

Xejn minn dan ma jargumenta kontra r-rotazzjoni. Dan jargumenta favur li x-xbihat maħżuna jiġu trattati bħala parti mill-bidla u mhux bħala ħsieb ta’ wara. Is-sakk jarriħ jiġi minn tentattivi paralleli: kull apparat ikompli jissottometti l-valur antik skont l-iskeda tiegħu sakemm jiskatta l-kontatur. Il-kont imbagħad jidher attakkat waqt li qed jiġu offruti biss kredenzjali li ħadd ma sostitwixxa. Dik id-distinzjoni hija importanti, għax is-soluzzjoni hija lista ta’ apparati u mhux politika tas-sakk iktar stretta.

Inventarja x-xbihat qabel ma ddawwar

Ikteb l-inventarju qabel ma tiftaħ il-formola tal-password. Elenka kull klijent, skript, awtomatizzazzjoni u profil ġestit li jawtentika bħala dan il-kont: it-telefown li jikkonnettja waħdu, ir-router ikkonfigurat sentejn ilu, il-laptop li jqum biss fit-Tnejn, u l-verifika ta’ monitoraġġ li tipprova kull minuta. Għal kull wieħed, innota fejn hija maħżuna l-kredenzjali, jekk l-apparat huwiex aċċessibbli matul il-bidla, u liema rotta ta’ rkupru teżisti jekk ma jistax jerġa’ jikkonnettja. Dik il-lista hija dik li tbiddel bidla riskjuża f’waħda skedata, u trid teżisti qabel ma l-password antika tieqaf taħdem.

L-apparati offline huma l-klassiku li jinqabeż. Laptop f’kexxun jerġa’ lura tliet ġimgħat wara u jippreżenta l-valur skadat fl-agħar mument possibbli. Innota wkoll il-post u l-iskeda tiegħu, għax ikollok tiġri wara minflok tistennieh.

Fi flotta Linux it-tfittxija hija mekkanika u mhux għaqlija. Fittex profili li jirreferu għal fajl tal-kredenzjali, imbagħad fittex il-fajls tal-kredenzjali nfushom, għax it-tieni lista hija dik li trid tinkiteb mill-ġdid. Errepeti l-eżerċizzju għall-klijenti tad-desktop u t-telefowns, fejn il-maħżen huwa profil jew entrata fil-keychain u mhux mogħdija. L-għan huwa lista li tista’ taħdem minnha, mhux skann li jistqarr li jsib kull xbieha.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Qabbel ix-xbihat man-nies li jippossjedu minnhom. Apparat li ħadd ma jitlob huwa apparat li ħadd mhu se jaġġorna, u huwa wkoll dak li x’aktarx ikompli jipprova mill-ġdid.

Liema sigriet qed iddawwar tassew

Il-password tal-kont hija biss kredenzjali waħda fl-implimentazzjoni tal-VPN. Frażi tal-password tal-muftieħ, identità taċ-ċertifikat u sigriet tal-pari fakultattiv għandhom kull wieħed it-triq ta’ sostituzzjoni u s-sid tiegħu stess. It-tibdil tal-password tal-kont ma jagħmel xejn għal apparat li jawtentika b’ċertifikat, u li terġa’ toħroġ ċertifikat ma tagħmel xejn għal klijent li jżomm password maħżuna. Semmi s-sigriet qabel ma ssemmi s-soluzzjoni.

Jekk ir-rotazzjoni hija mmexxija mis-suspett u mhux mill-politika, il-proċess tal-inċident jieħu preċedenza fuq il-pjan tal-kumdità. Irrevoka dak li jeħtieġu l-provi u aċċetta x-xogħol żejjed fil-lista tal-apparati. Dik id-deċiżjoni tappartjeni lis-sid tal-inċident, mhux lil min qed iżomm il-formola tar-reset tal-password b’kumbinazzjoni.

Ibdel il-valur maħżun fejn jgħix

Biddel il-kredenzjali permezz tal-mekkaniżmu li d-dokumentazzjoni tas-servizz tispeċifika, imbagħad aġġorna x-xbieha maħżuna jew mexxi l-fluss tal-login fuq kull apparat li beħsiebek iżżomm. Teditjax konfigurazzjoni iġġenerata wara manager li jerġa’ jiktebha, għax il-manager jirrestawra l-valur iktar antik fir-run li jmiss u l-editjar isir ħsara mdewwma. Aġġorna s-sors li l-manager jaqra, jew uża l-maħżen tal-kredenzjali tal-klijent stess. B’xi mod, l-apparat irid jispiċċa bil-valur il-ġdid fil-post li l-klijent jaqra tassew.

Klijent li jaħżen fajl tal-password jeħtieġ il-fajl miktub mill-ġdid, filwaqt li klijent li jistaqsi jeħtieġ login komplut. NetworkManager iżomm is-sigriet fil-profil tal-konnessjoni, allura l-bidla tgħaddi minn nmcli u mhux minn editur tat-test:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profil li jaqra fajl tal-kredenzjali huwa t-tielet każ. Ibdel il-kontenut ta’ dak il-fajl, żomm il-permessi tiegħu magħluqa, u erġa’ għabbi l-klijent minflok teditja l-profil li jindika lejh. Il-profil ma nbidilx; inbidel biss is-sigriet li jaqra.

Erġa’ kkonnettja kull apparat maħsub darba, apposta, u ara liema jonqsu. Jekk apparat ikompli jonqos, ħares lejn il-kont li huwa jindika lejh u l-maħżen li jaqra qabel ma terġa’ tbiddel il-password, għax it-tieni bidla tiddoppja x-xbihat li jeħtieġu aġġornament. Apparat li jonqos darbtejn normalment jindika lejn il-kont ħażin jew jaqra maħżen li għadek ma sibtx. Sejjaħ dan, imbagħad erġa’ kkonnettja.

Is-sessjonijiet u t-tokens jgħixu iktar mill-password

It-tibdil tal-password ma jipprovax li s-sessjonijiet eżistenti jew iċ-ċertifikati separati ġew irrevokati. Xi servizzi jżommu sessjoni ħajja sakemm tiskadi jew tiġi terminata b’mod espliċitu, u t-tokens maħruġa jġorru l-ħajja tagħhom stess. Iċċekkja x’jagħmel is-servizz tassew minflok tassumi li l-bidla kienet globali. Jekk il-bidla kienet immexxija mis-suspett, temm is-sessjonijiet b’mod espliċitu u kkonferma r-riżultat.

Il-gwida dwar iċ-ċiklu tal-ħajja tal-kredenzjali f’NIST SP 800-63B iżżomm l-awtentikaturi u s-sessjonijiet f’kategoriji separati, u għalhekk bidla fil-password u logout globali huma operazzjonijiet differenti. Trattahom bħala żewġ kompiti b’żewġ kriterji ta’ tlestija. L-ewwel waħda tintemm meta l-valur il-ġdid jaħdem, u t-tieni meta s-sessjonijiet antiki jkunu marru.

Irreġistra t-tlestija mingħajr ma tikteb il-password il-ġdida fir-rekord. Log tar-rotazzjoni li jkun fih il-kredenzjali huwa inċident ġdid li qed jistenna fuq diska kondiviża. Innota d-data, l-apparati aġġornati u l-apparati li għadhom pendenti.