Bytt VPN-passord utan å låse ute alle einingar

Tre telefonar, ein ruter og ein overvakingssjekk held framleis på det gamle passordet, og ein av dei koplar til på nytt kvart nittiande sekund. Kontopassordet vart endra for ti minutt sidan, så kvar av desse klientane sender no ein verdi tenaren avviser. Det er augneblinken myten brest: ei passordendring rører kontoen, ikkje kopiane av den gamle verdien på kvar eining. Det som følgjer, er arbeidet endringa ikkje gjorde.

Myten: éi endring, overalt samstundes

Trua er at ei passordendring loggar ut alt og tvingar ei rein ny innlogging. Det gjer ho ikkje, fordi tenaren berre sporar kva legitimasjon han sist godtok, medan klientane held på det dei lagra. Ei eining med lagra passord prøver det på nytt etter sin eigen plan og feilar stille til nokon oppdagar at kontoen er låst. Når ein godtar at kopiane lever utanfor kontoen, sluttar rotasjonen å sjå ut som éi handling.

Ingenting av dette talar mot rotasjon. Det talar for å handsame dei lagra kopiane som ein del av endringa i staden for ein ettertanke. Ei utlåsing kjem vanlegvis frå parallelle gjentakingar: kvar eining held fram med å sende den gamle verdien etter sin eigen plan til teljaren slår ut. Kontoen ser då angripen ut, medan han berre blir tilboden legitimasjon ingen har erstatta. Den skilnaden betyr noko, fordi løysinga er ei einingliste og ikkje ein strengare utlåsingspolicy.

Inventer kopiane før du roterer

Skriv oversynet før du opnar passordskjemaet. List opp kvar klient, skript, automatisering og administrert profil som autentiserer som denne kontoen: telefonen som koplar til av seg sjølv, ruteren som vart konfigurert for to år sidan, laptopen som berre vaknar på måndagar, og overvakingssjekken som prøver kvart minutt. For kvar av dei, noter kvar legitimasjonen er lagra, om eininga kan nåast under endringa, og kva gjenopprettingsveg som finst om ho ikkje kan kopie til på nytt. Den lista er det som gjer ei risikabel endring om til ei planlagd endring, og ho må finnast før det gamle passordet sluttar å verke.

Fråkopla einingar er den klassiske glippen. Ein laptop i ei skuffe kjem tilbake tre veker seinare og presenterer den utdaterte verdien på det verste tidspunktet. Noter også plasseringa og planen hans, fordi du må jage han i staden for å vente på han.

På ein Linux-flåte er søket mekanisk og ikkje smart. Sjå etter profilar som viser til ein legitimasjonsfil, deretter sjølve legitimasjonsfilane, fordi den andre lista er den som må skrivast om. Gjenta øvinga for skrivebordsklientar og telefonar, der lageret er ein profil eller ein nøkkelringoppføring og ikkje ein sti. Målet er ei liste du kan arbeide deg gjennom, ikkje ein skann som hevdar å finne kvar kopi.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Mål kopiane mot menneska som eig dei. Ei eining ingen gjer krav på, er ei eining ingen kjem til å oppdatere, og det er også den som mest truleg held fram med å prøve på nytt.

Kva hemmelegheit du faktisk roterer

Eit kontopassord er berre éin legitimasjon i ei VPN-utrulling. Ein nøkkelpassfrase, ein sertifikatidentitet og ei valfri peer-hemmelegheit har kvar sin erstatningsveg og sin eigen eigar. Å endre kontopassordet gjer ingenting for ei eining som autentiserer med sertifikat, og å utstede eit sertifikat på nytt gjer ingenting for ein klient med lagra passord. Namngi hemmelegheita før du namngir løysinga.

Om rotasjonen blir driven av mistanke og ikkje av policy, har hendingsprosessen forrang for komfortplanen. Tilbakekall det prova krev, og godta ekstraarbeidet på eininglista. Den avgjerda høyrer til hendingseigaren, ikkje kven som tilfeldigvis held skjemaet for tilbakestilling av passord.

Erstatt den lagra verdien der han bur

Endre legitimasjonen gjennom mekanismen tenesta dokumenterer, og oppdater deretter den lagra kopien eller køyr innloggingsflyten på kvar eining du vil behalde. Ikkje rediger ein generert konfigurasjon bak ein behandlar som skriv han på nytt, fordi behandlaren gjenopprettar den eldre verdien ved neste køyring, og redigeringa blir ein forseinka feil. Oppdater kjelda behandlaren les, eller bruk klienten sitt eige legitimasjonslager. Uansett må eininga ende opp med den nye verdien på staden klienten faktisk les.

Ein klient som lagrar ei passordfil, treng at fila blir skriven på nytt, medan ein klient som spør, treng ei fullført innlogging. NetworkManager held hemmelegheita inne i tilkoplingsprofilen, så endringa går gjennom nmcli i staden for ein tekstredigerar:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Ein profil som les ei legitimasjonsfil, er eit tredje tilfelle. Erstatt innhaldet i den fila, hald løyva lukka, og last klienten på nytt i staden for å redigere profilen som peikar på ho. Profilen vart ikkje endra; berre hemmelegheita han les, vart endra.

Kople kvar tiltenkt eining til på nytt éin gong, med vilje, og sjå kva som feilar. Om ei eining held fram med å feile, sjå på kontoen ho peikar på og lageret ho les før du endrar passordet igjen, fordi ei andre endring mangedoblar kopiane som må oppdaterast. Ei eining som feilar to gonger peikar vanlegvis på feil konto eller les eit lager du enno ikkje har funne. Rett det, og kople deretter til på nytt.

Økter og token overlever passordet

Å endre passordet provar ikkje at eksisterande økter eller separate sertifikat vart tilbakekalla. Nokre tenester held ei økt i live til ho går ut eller blir avslutta eksplisitt, og utstedte token har si eiga levetid. Sjekk kva tenesta faktisk gjer i staden for å anta at endringa var global. Om endringa var driven av mistanke, avslutt øktene eksplisitt og stadfest resultatet.

Rettleiinga om livssyklusen til legitimasjonar i NIST SP 800-63B held autentikatorar og økter i separate kategoriar, og derfor er ei passordendring og ei global utlogging ulike operasjonar. Handsame dei som to oppgåver med to fullføringskriterium. Den første er ferdig når den nye verdien verkar, og den andre når dei gamle øktene er borte.

Registrer fullføringa utan å skrive det nye passordet inn i posten. Ein rotasjonslogg som inneheld legitimasjonen, er ei ny hending som ventar på ein delt disk. Noter datoen, einingane som vart oppdaterte, og einingane som framleis står att.