Ndrysho fjalëkalimin e VPN pa bllokuar çdo pajisje

Tre telefona, një ruter dhe një kontroll monitorimi ende mbajnë fjalëkalimin e vjetër, dhe njëri prej tyre rilidhet çdo nëntëdhjetë sekonda. Fjalëkalimi i llogarisë ndryshoi dhjetë minuta më parë, prandaj secili prej këtyre klientëve po dërgon tani një vlerë që serveri e refuzon. Ai është momenti kur miti thyhet: një ndryshim fjalëkalimi prek llogarinë, jo kopjet e vlerës së vjetër në çdo pajisje. Ajo që vjen më pas është puna që ndryshimi nuk e bëri.

Miti: një ndryshim, kudo njëherësh

Besimi është se një ndryshim fjalëkalimi shkëput gjithçka dhe detyron një hyrje të re të pastër. Nuk është kështu, sepse serveri ndjek vetëm kredencialin që pranoi i fundit, ndërsa klientët mbajnë atë që ruajtën. Një pajisje me fjalëkalim të ruajtur e riprovon atë sipas orarit të vet dhe dështon në heshtje derisa dikush vëren se llogaria është bllokuar. Pasi pranoni se kopjet jetojnë jashtë llogarisë, rrotullimi nuk duket më si një veprim i vetëm.

Asgjë nga kjo nuk argumenton kundër rrotullimit. Argumenton për trajtimin e kopjeve të ruajtura si pjesë e ndryshimit dhe jo si mendim i mëpasshëm. Bllokimi zakonisht vjen nga ripërpjekje paralele: çdo pajisje vazhdon të dërgojë vlerën e vjetër sipas orarit të vet derisa numëruesi aktivizohet. Atëherë llogaria duket e sulmuar ndërkohë që po i ofrohen vetëm kredenciale që askush nuk i zëvendësoi. Ky dallim ka rëndësi, sepse zgjidhja është një listë pajisjesh dhe jo një politikë bllokimi më e rreptë.

Inventarizo kopjet përpara rrotullimit

Shkruaj inventarin përpara se të hapësh formularin e fjalëkalimit. Listo çdo klient, skript, automatizim dhe profil të menaxhuar që vërtetohet si kjo llogari: telefoni që lidhet vetë, ruteri i konfiguruar dy vjet më parë, laptopi që zgjohet vetëm të hënave, dhe kontrolli i monitorimit që provon çdo minutë. Për secilin, shëno ku ruhet kredenciali, nëse pajisja mund të arrihet gjatë ndryshimit dhe çfarë rruge rikuperimi ekziston nëse nuk mund të rilidhet. Është pikërisht kjo listë ajo që e kthen një ndryshim të rrezikshëm në një të planifikuar, dhe duhet të ekzistojë përpara se fjalëkalimi i vjetër të ndalojë së funksionuari.

Pajisjet jashtë linje janë harresa klasike. Një laptop në sirtar kthehet tre javë më vonë dhe paraqet vlerën e vjetruar në momentin më të keq. Shëno edhe vendndodhjen dhe orarin e tij, sepse do t’i duhet t’i shkosh pas dhe jo ta presësh.

Në një flotë Linux kërkimi është mekanik dhe jo i zgjuar. Kërko profile që referojnë një skedar kredencialesh, pastaj vetë skedarët e kredencialeve, sepse lista e dytë është ajo që duhet rishkruar. Përsërit ushtrimin për klientët e desktopit dhe telefonat, ku ruajtja është një profil ose një zë në vargun e çelësave dhe jo një shteg. Qëllimi është një listë me të cilën mund të punosh, jo një skanim që pretendon se gjen çdo kopje.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Krahaso kopjet me njerëzit që i zotërojnë. Një pajisje që askush nuk e pretendon është një pajisje që askush nuk do ta përditësojë, dhe është gjithashtu ajo që ka më shumë gjasa të vazhdojë ripërpjekjet.

Çfarë sekreti po rrotullon në të vërtetë

Fjalëkalimi i llogarisë është vetëm një kredencial në një vendosje VPN. Fraza e fjalëkalimit të çelësit, identiteti i certifikatës dhe sekreti opsional i palës tjetër kanë secili rrugën e vet të zëvendësimit dhe pronarin e vet. Ndryshimi i fjalëkalimit të llogarisë nuk bën asgjë për një pajisje që vërtetohet me certifikatë, dhe riizdhënia e një certifikate nuk bën asgjë për një klient që mban një fjalëkalim të ruajtur. Emërto sekretin përpara se të emërtosh zgjidhjen.

Nëse rrotullimi drejtohet nga dyshimi dhe jo nga politika, procesi i incidentit kalon përpara planit të komoditetit. Anulo çfarë kërkojnë provat dhe prano punën shtesë në listën e pajisjeve. Ai vendim i takon pronarit të incidentit, jo kujt mban rastësisht formularin e rivendosjes së fjalëkalimit.

Zëvendëso vlerën e ruajtur aty ku jeton

Ndrysho kredencialin përmes mekanizmit që dokumenton shërbimi, pastaj përditëso kopjen e ruajtur ose ekzekuto rrjedhën e hyrjes në çdo pajisje që synon të mbash. Mos e redakto një konfigurim të gjeneruar pas një menaxheri që e rishkruan, sepse menaxheri rikthen vlerën më të vjetër në ekzekutimin tjetër dhe redaktimi bëhet një dështim i shtyrë. Përditëso burimin që lexon menaxheri, ose përdor ruajtësen e vetë klientit për kredenciale. Në çdo rast, pajisja duhet të përfundojë me vlerën e re në vendin ku klienti lexon vërtet.

Një klient që ruan një skedar fjalëkalimi ka nevojë për skedarin e rishkruar, ndërsa një klient që pyet ka nevojë për një hyrje të përfunduar. NetworkManager e mban sekretin brenda profilit të lidhjes, kështu që ndryshimi kalon përmes nmcli dhe jo një redaktori teksti:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Një profil që lexon një skedar kredencialesh është rasti i tretë. Zëvendëso përmbajtjen e atij skedari, mbaji lejet e tij të mbyllura dhe ringarko klientin në vend që të redaktosh profilin që tregon drejt tij. Profili nuk ndryshoi; ndryshoi vetëm sekreti që lexon.

Rilidh çdo pajisje të synuar një herë, me qëllim, dhe shiko cilat dështojnë. Nëse një pajisje vazhdon të dështojë, shiko llogarinë drejt së cilës tregon dhe ruajtësen që lexon përpara se ta ndryshosh përsëri fjalëkalimin, sepse një ndryshim i dytë shumëfishon kopjet që duhen përditësuar. Një pajisje që dështon dy herë zakonisht tregon llogarinë e gabuar ose lexon një ruajtëse që nuk e ke gjetur ende. Rregulloje atë dhe pastaj rilidhu.

Sesionet dhe shenjat jetojnë më gjatë se fjalëkalimi

Ndryshimi i fjalëkalimit nuk vërteton se sesionet ekzistuese ose certifikatat e ndara janë revokuar. Disa shërbime mbajnë një sesion gjallë derisa të skadojë ose të përfundojë në mënyrë eksplicite, dhe shenjat e lëshuara mbajnë jetëgjatësinë e tyre. Kontrollo çfarë bën shërbimi në të vërtetë në vend që të supozosh se ndryshimi ishte global. Nëse ndryshimi u drejtua nga dyshimi, përfundo sesionet në mënyrë eksplicite dhe konfirmo rezultatin.

Udhëzimi për ciklin e jetës së kredencialeve në NIST SP 800-63B mban vërtetuesit dhe sesionet në kategori të ndara, prandaj një ndryshim fjalëkalimi dhe një dalje globale janë operacione të ndryshme. Trajtoji si dy detyra me dy kritere përfundimi. E para përfundon kur vlera e re funksionon, dhe e dyta kur sesionet e vjetra janë zhdukur.

Regjistro përfundimin pa shkruar fjalëkalimin e ri në regjistër. Një log rrotullimi që përmban kredencialin është një incident i ri që pret në një disk të përbashkët. Shëno datën, pajisjet e përditësuara dhe pajisjet që ende mbeten.