د VPN پاسورډ بدلول پرته له دې چې ټولې وسیلې وتړل شي

درې تلیفونونه، یو روټر او یو څارنې چک لا هم زوړ پاسورډ لري، او یو له دوی هره نوي سکینډه بیا ځای پر ځای کیږي۔ د حساب پاسورډ لس دقیقې مخکې بدل شوی، نو هر یو له دې کلینټونو اوس هغه ارزښت لیږي چې سرور یې ردوي۔ هماغه شیبه ده چې افسانه ماتېږي: د پاسورډ بدلون حساب ته رسېږي، نه په هر وسیله کې د زوړ ارزښت کاپیو ته۔ ورپسې هغه کار دی چې بدلون یې ونه کړ۔

افسانه: یو بدلون، هر چېرې یو ځای

باور دا دی چې د پاسورډ بدلون هر څه له سیسټم څخه وځي او پاک بیا ننوتل اړ باسي۔ داسې نه ده، ځکه سرور یوازې هغه تعلیق تعقیبوي چې وروستی یې منلی، خو کلینټان هغه څه ساتي چې خوندي کړي یې دي۔ هغه وسیله چې خوندي پاسورډ لري، د خپل مهال ویش له مخې یې بیا هڅه کوي او تر هغه پورې په خاموشۍ ناکامه کیږي چې یو څوک پوه شي حساب تړل شوی۔ کله چې ومنئ چې کاپي له حساب بهر ژوند کوي، بدلون نور د یوې واحدې کړنې په څیر نه ښکاري۔

له دې هیڅ یو هم د بدلون خلاف نه دی۔ دا د دې ملاتړ کوي چې خوندي کاپي د بدلون برخه وګڼل شي نه وروسته فکر۔ تړل معمولاً له موازي بیا هڅو راځي: هر وسیله د خپل مهال ویش له مخې زوړ ارزښت لیږي تر څو چې شمارونکی فعال شي۔ بیا حساب برید شوی ښکاري، خو یوازې هغه تعلیقونه وړاندې کیږي چې چا نه دي بدل کړي۔ دا توپیر مهم دی، ځکه حل د ډیر سخت تړل تګلاره نه، بلکې د وسیلو لیست دی۔

له بدلون مخکې کاپي لیست کړئ

د پاسورډ فورمې له پرانیستلو مخکې لیست ولیسئ۔ هر کلینټ، سکریپټ، اتومات او مدیریت شوی پروفایل لیست کړئ چې د دې حساب په توګه تصدیق کیږي: هغه تلیفون چې پخپله نښلول کیږي، هغه روټر چې دوه کاله مخکې تنظیم شوی، هغه لیپ ټاپ چې یوازې دوشنبې ورځې ویښیږي، او هغه څارنې چک چې هره دقیقه هڅه کوي۔ د هر یوه لپاره ولیسئ چې تعلیق چېرې خوندي دی، آیا د بدلون پر مهال وسیلې ته رسیدل ممکن دي، او که بیا ونښلول نشي کوم د بیا رغونې لار شته۔ همدا لیست خطرناک بدلون په پلان شوي بدلون بدلوي، او باید د زوړ پاسورډ د کار کولو له ودرو مخکې شتون ولري۔

افلاین وسیلې کلاسیک هیریدل دي۔ په دراز کې لیپ ټاپ درې اونۍ وروسته بیرته راځي او په تر ټولو بد شيبه کې زوړ ارزښت وړاندې کوي۔ د هغې ځای او مهال ویش هم ولیسئ، ځکه چې انتظار نه، بلکې تعقیب یې کوئ۔

په لینکس بېړۍ کې پلټنه میخانیکي ده نه هوښیاره۔ هغه پروفایلونه ولټوئ چې د تعلیق فایل ته اشاره کوي، بیا د تعلیق فایلونه پخپله ولټوئ، ځکه دوهم لیست هغه دی چې بیا ولیکل شي۔ تمرین د ډیسکټاپ کلینټانو او تلیفونونو لپاره هم تکرار کړئ، چېرې چې زېرمه لار نه، بلکې پروفایل یا کیچین ننوتل دي۔ هدف د کار کولو وړ لیست دی، نه هغه سکن چې ادعا کوي هره کاپي مومي۔

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

کاپي د هغو خلکو سره اندازه کړئ چې مالک یې دي۔ هغه وسیله چې څوک یې غوښتنه نه کوي، هغه وسیله ده چې څوک به یې تازه نه کړي، او هماغه تر ټولو ډیره د بیا هڅې د دوام احتمال لري۔

تاسو واقعاً کوم راز ګرځوئ

د حساب پاسورډ په VPN ځای پرځای کې یوازې یو تعلیق دی۔ د کیلي پاسورډ جمله، د سند هویت او اختیاري همکار راز هر یو خپل بدلون لار او خپل مالک لري۔ د حساب پاسورډ بدلول د هغې وسیلې لپاره هیڅ نه کوي چې د سند له مخې تصدیق کیږي، او د سند بیا صادرول د هغه کلینټ لپاره هیڅ نه کوي چې خوندي پاسورډ لري۔ حل ته د نوم ورکولو مخکې راز ته نوم ورکړئ۔

که بدلون د تګلارې نه بلکې د شک له مخې وي، د پیښې بهیر د اسانتیا پلان څخه مخکې دی۔ هغه څه لغوه کړئ چې شواهد یې غواړي او د وسیلو لیست کې اضافي کار ومنئ۔ دا پریکړه د پیښې مالک ته اړه لري، نه هغه چاته چې ناڅاپه د پاسورډ بیا تنظیم فورمه لري۔

خوندي شوی ارزښت چېرته چې ژوند کوي هماغلته بدل کړئ

تعلیق د هغه میکانیزم له لارې بدل کړئ چې خدمت یې مستند کوي، بیا خوندي کاپي تازه کړئ یا د هرې هغې وسیلې لپاره د ننوتلو بهیر چل کړئ چې غواړئ وساتئ۔ هغه جوړه شوې ترتیبات چې د بیا لیکلو مدیر شاته دي مه سمولئ، ځکه مدیر په راتلونکې چلولو کې زوړ ارزښت بیرته راولي او سمون وروسته ناکامي کیږي۔ هغه سرچینه تازه کړئ چې مدیر یې لولي، یا د کلینټ خپله د تعلیق زېرمه وکاروئ۔ په هر حال، وسیله باید د هغې ځای کې چې کلینټ واقعاً لولي نوی ارزښت ولري او پای ته ورسيږي۔

هغه کلینټ چې د پاسورډ فایل خوندي کوي فایل ته د بیا لیکل کیدو اړتیا لري، خو هغه کلینټ چې پوښتنه کوي بشپړ ننوتل غواړي۔ NetworkManager راز د نښلونې پروفایل دننه ساتي، نو بدلون د متن ایډیټر نه بلکې nmcli له لارې تیریږي:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

هغه پروفایل چې د تعلیق فایل لولي دریمه پېښه ده۔ د هغه فایل منځپانګه بدله کړئ، اجازې یې بندې وساتئ، او د هغه پروفایل د سمولو پرځای چې ورته اشاره کوي کلینټ بیا بار کړئ۔ پروفایل نه دی بدل شوی؛ یوازې هغه راز بدل شو چې لولي یې۔

هره هدف وسیله یو ځل په قصد بیا ونښلوئ او وګورئ کومې ناکامه کیږي۔ که وسیله ناکامه پاتې شي، د پاسورډ د بیا بدلولو مخکې هغه حساب او هغه زېرمه وګورئ چې ورته اشاره کوي او لولي یې، ځکه دوهم بدلون تازه کیدونکې کاپي څو برابره کوي۔ هغه وسیله چې دوه ځله ناکامه کیږي معمولاً غلط حساب ته اشاره کوي یا هغه زېرمه لولي چې لا یې نه ده موندلې۔ هغه سم کړئ، بیا ونښلوئ۔

نشستونه او ټوکنونه له پاسورډ څخه اوږد ژوند کوي

د پاسورډ بدلول ثابتوي نه چې موجود نشستونه یا جلا سندونه لغوه شوي۔ ځینې خدمتونه نشست ژوندی ساتي تر څو چې پای ته ورسي یا په څرګند ډول بند شي، او صادر شوي ټوکنونه خپل عمر لري۔ د هغې فرضې پرځای چې بدلون نړیوال و، وګورئ چې خدمت واقعاً څه کوي۔ که بدلون د شک له مخې و، نشستونه په څرګند ډول بند کړئ او پایله تایید کړئ۔

په NIST SP 800-63B کې د تعلیق د ژوند دورې لارښود تصدیق کوونکي او نشستونه جلا کټګوریو کې ساتي، ځکه د پاسورډ بدلون او نړیوال وتل جلا عملیات دي۔ دوه بشپړتیا معیارونه لرونکې دوه دندې یې وګڼئ۔ لومړی هغه وخت بشپړیږي چې نوی ارزښت کار وکړي، او دوهم هغه وخت چې زاړه نشستونه ولاړ شي۔

بشپړتیا ثبت کړئ پرته له دې چې نوی پاسورډ په ریکارډ کې ولیسئ۔ هغه بدلون لاګ چې تعلیق لري په شریک شوي ډیسک کې انتظار کوونکې نوې پېښه ده۔ نیټه، تازه شوې وسیلې او هغه وسیلې چې لا پاتې دي ولیسئ۔