Zmena hesla VPN bez zablokovania všetkých zariadení

Tri telefóny, router a jedna kontrola monitorovania stále držia staré heslo a jedno z nich sa každých deväťdesiat sekúnd znova pripája. Heslo účtu sa zmenilo pred desiatimi minútami, preto každý z týchto klientov teraz posiela hodnotu, ktorú server odmieta. Vtedy sa mýtus láme: zmena hesla sa dotýka účtu, nie kópií starej hodnoty na každom zariadení. Nasleduje práca, ktorú zmena neurobila.

Mýtus: jedna zmena, všade naraz

Presvedčenie je, že zmena hesla odhlási všetko a vynúti čisté nové prihlásenie. Nie je to tak, pretože server sleduje len to, ktoré prihlasovacie údaje naposledy prijal, zatiaľ čo klienti si držia to, čo uložili. Zariadenie s uloženým heslom ho skúša znova podľa vlastného rozvrhu a ticho zlyháva, kým si niekto nevšimne, že účet je zablokovaný. Keď prijmeme, že kópie žijú mimo účtu, rotácia prestane vyzerať ako jediná akcia.

Nič z toho nie je argument proti rotácii. Je to argument za to brať uložené kópie ako súčasť zmeny, nie ako dodatočnú myšlienku. Zablokovanie zvyčajne prichádza z paralelných opakovaní: každé zariadenie ďalej posiela starú hodnotu podľa vlastného rozvrhu, kým sa nespustí počítadlo. Účet potom vyzerá napadnutý, hoci sa mu len ponúkajú údaje, ktoré nikto nenahradil. Ten rozdiel je dôležitý, pretože riešením je zoznam zariadení, nie prísnejšia politika zamykania.

Zmapujte kópie pred rotáciou

Napíšte inventár skôr, než otvoríte formulár hesla. Vypíšte každého klienta, skript, automatizáciu a spravovaný profil, ktorý sa overuje ako tento účet: telefón, ktorý sa pripája sám, router nastavený pred dvoma rokmi, notebook, ktorý sa zobúdza len v pondelok, a kontrolu monitorovania, ktorá to skúša každú minútu. Pri každom poznamenajte, kde sú prihlasovacie údaje uložené, či je zariadenie počas zmeny dostupné a aká cesta obnovy existuje, ak sa nemôže znova pripojiť. Práve tento zoznam mení riskantnú zmenu na naplánovanú a musí existovať skôr, než staré heslo prestane fungovať.

Zariadenia offline sú klasické opomenutie. Notebook v zásuvke sa vráti o tri týždne a predloží zastaranú hodnotu v najhoršom možnom okamihu. Poznamenajte aj jeho umiestnenie a rozvrh, pretože ho budete musieť dohnať, nie naň čakať.

V linuxovej flotile je hľadanie mechanické, nie šikovné. Hľadajte profily, ktoré odkazujú na súbor prihlasovacích údajov, potom samotné súbory údajov, pretože druhý zoznam je ten, ktorý treba prepísať. Cvičenie zopakujte pre stolných klientov a telefóny, kde je úložiskom profil alebo položka v kľúčenke, nie cesta. Cieľom je zoznam, cez ktorý sa dá pracovať, nie sken, ktorý tvrdí, že nájde každú kópiu.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Porovnajte kópie s ľuďmi, ktorí ich vlastnia. Zariadenie, ktoré si nikto nenárokuje, je zariadenie, ktoré nikto neaktualizuje, a zároveň to je to, ktoré s najväčšou pravdepodobnosťou bude pokračovať v opakovaní.

Ktoré tajomstvo vlastne rotujete

Heslo účtu je len jedny prihlasovacie údaje v nasadení VPN. Prihlasovacia fráza kľúča, identita certifikátu a voliteľné tajomstvo partnera majú každé svoju cestu nahradenia a svojho vlastníka. Zmena hesla účtu nič nerobí pre zariadenie, ktoré sa overuje certifikátom, a opätovné vydanie certifikátu nič nerobí pre klienta s uloženým heslom. Pomenujte tajomstvo skôr, než pomenujete riešenie.

Ak je rotácia vedená podozrením a nie politikou, incidentný proces má prednosť pred plánom pohodlia. Odvolajte to, čo vyžadujú dôkazy, a prijmite prácu navyše na zozname zariadení. To rozhodnutie patrí vlastníkovi incidentu, nie tomu, kto práve drží formulár na resetovanie hesla.

Nahraďte uloženú hodnotu tam, kde žije

Zmeňte prihlasovacie údaje mechanizmom, ktorý služba dokumentuje, potom aktualizujte uloženú kópiu alebo spustite prihlasovací tok na každom zariadení, ktoré chcete ponechať. Neupravujte generovanú konfiguráciu za správcom, ktorý ju prepisuje, pretože správca pri ďalšom behu obnoví staršiu hodnotu a úprava sa stane odloženou poruchou. Aktualizujte zdroj, ktorý správca číta, alebo použite vlastné úložisko prihlasovacích údajov klienta. Tak či onak, zariadenie musí skončiť s novou hodnotou na mieste, ktoré klient skutočne číta.

Klient, ktorý ukladá súbor hesla, potrebuje prepísaný súbor, zatiaľ čo klient, ktorý sa pýta, potrebuje dokončené prihlásenie. NetworkManager drží tajomstvo v profile pripojenia, takže zmena ide cez nmcli, nie cez textový editor:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Profil, ktorý číta súbor prihlasovacích údajov, je tretí prípad. Nahraďte obsah toho súboru, ponechajte jeho oprávnenia zatvorené a znova načítajte klienta namiesto úpravy profilu, ktorý naň odkazuje. Profil sa nezmenil; zmenilo sa len tajomstvo, ktoré číta.

Znova pripojte každé zamýšľané zariadenie raz, zámerne, a sledujte, ktoré zlyhávajú. Ak zariadenie naďalej zlyháva, pozrite sa na účet, na ktorý ukazuje, a na úložisko, ktoré číta, skôr než znova zmeníte heslo, pretože druhá zmena znásobí kópie, ktoré treba aktualizovať. Zariadenie, ktoré zlyhá dvakrát, zvyčajne ukazuje na nesprávny účet alebo číta úložisko, ktoré ste ešte nenašli. Opravte to a potom sa znova pripojte.

Relácie a tokeny prežívajú heslo

Zmena hesla nedokazuje, že existujúce relácie alebo samostatné certifikáty boli odvolané. Niektoré služby držia reláciu živú, kým nevyprší alebo nie je výslovne ukončená, a vydané tokeny majú vlastnú životnosť. Overte, čo služba skutočne robí, namiesto toho, aby ste predpokladali, že zmena bola globálna. Ak bola zmena vedená podozrením, výslovne ukončite relácie a potvrďte výsledok.

Usmernenia o životnom cykle prihlasovacích údajov v NIST SP 800-63B držia autentifikátory a relácie v oddelených kategóriách, a preto sú zmena hesla a globálne odhlásenie rôzne operácie. Berte ich ako dve úlohy s dvoma kritériami dokončenia. Prvá sa skončí, keď nová hodnota funguje, a druhá, keď staré relácie zmiznú.

Zaznamenajte dokončenie bez zapísania nového hesla do záznamu. Protokol rotácie, ktorý obsahuje prihlasovacie údaje, je nový incident čakajúci na zdieľanom disku. Poznamenajte dátum, aktualizované zariadenia a zariadenia, ktoré ešte zostávajú.