Миграција позадинског система за проверу аутентичности VPN-а без поновне употребе старих хешева

Корисничка имена се појављују у новом именику, миграција је проглашена завршеном, а пријаве и даље не успевају. Приступник и даље треба подржан пут провере аутентичности и исправан резултат ауторизације, а ни једно од тога не произлази из именика који сада садржи налоге. Премештање позадинског система је пресек са животним циклусом, а не копирање. Симптом у наставку је онај који обично открије разлику.

Симптом: налози постоје, сесије не

Нови именик садржи свако корисничко име, пробно повезивање успева, а VPN клијент и даље враћа грешку провере аутентичности. Таква комбинација значи да идентитет постоји, али пут провере који приступник користи до њега не долази или долази методом коју не може да задовољи. Обоје је конфигурација и то су различити проблеми.

Први је ожичење: приступник показује на позадински систем који не одговара, користи заједничку тајну коју друга страна не очекује или тражи атрибут који нова услуга не враћа. Други је криптографски: метода захтева изворну тајну, а ново складиште држи само њен хеш. Текст грешке у оба случаја изгледа слично, зато се оба третирају као један проблем.

Раздвајање њих двају пре дирања налога штеди недељу. Једно је питање усмеравања и поверења, друго је одлука о ресетовању акредитива, а њихово мешање ствара промене које нико не може да припише.

Пресликајте ланац пре него што некога преместите

За сваки профил клијента запишите шест ствари: спољну методу провере аутентичности, могућу унутрашњу методу, идентитет сервера који клијент очекује, интерфејс између приступника и позадинског система, атрибут који приступник пресликава у чланство у групи и резултујућу политику ресурса. Читање тим редом показује која карика нема власника. Свака ставка има власника, а пресек пада на оној коју нико није проверио.

Обична пријава у именик не пролази готово ништа од тог ланца. Доказује да налог постоји и да лозинка ради, што је управо онај део који никада није био под знаком питања.

Хешеви не путују између метода

Компатибилност акредитива мора да се провери једном, пре него што се премести било која група. FreeRADIUS јасно описује поделу: провера CHAP коју изводи сам сервер тражи стварну лозинку, а MS-CHAP прихвата ту лозинку или одговарајући NT материјал. Хеш направљен за неку другу сврху не одговара ниједном случају, колико год био јак.

Разлика је у томе ко рачуна доказ. Метода која проверава повезивањем са имеником пушта именик да провери шта може да провери. Метода која проверава поновним израчунавањем одговора на изазов треба саму тајну, јер сервер мора да изведе исти прорачун.

Где материјал недостаје, поштене су могућности подржани ресет, поновна регистрација, спољна услуга провере или промена методе. Привремени извоз обновљивих лозинки није на том списку. Ствара складиште акредитива у чистом тексту током најхаотичније недеље пројекта и обично надживи миграцију.

Пилотна група, затим промене животног циклуса

Преместите малу групу одобрених идентитета са стварним клијентом и испробајте четири ствари: свежу пријаву, намерно погрешан акредитив, ресурсе које сесија сме да дохвати и ресурсе које не сме. Проверите и идентитет сервера који је клијент прихватио, јер је неподударност назива сертификата невидљива док неко не прочита дневник клијента.

Затим испробајте промене од којих увођење стварно зависи. Промените лозинку, обновите или поново региструјте сертификат и уклоните приступ једном пилотском налогу. Након сваке потврдите који је верификатор обрадио покушај, јер сесија створена пре пресека може наставити да ради и ништа не доказује о следећој пријави.

Одвојите доставу профила од пребацивања идентитета. Свака група треба свој предвиђени профил, своје стање акредитива или регистрације, услугу провере аутентичности коју треба да користи и контакт за подршку, а ниједан од тих записа не сме да садржи тајну.

Ако стари и нови пут постоје паралелно, ограничите их крајњим датумом. Аутоматски fallback може да пусти налог кроз стари акредитив након што је нови власник уклонио приступ, а то је безбедносна регресија прерушена у доступност.

Враћање уназад не може да обнови акредитив

Окретање пресека оставља именик тачно у стању у ком је сада. Ресетована лозинка остаје ресетована, опозвани сертификат остаје опозван, а измењен формат акредитива остаје измењен. То су догађаји у именику и приступник никада није био њихов извор. Опоравак мора да се дефинише по догађају и ништа од тога не сме да зависи од реконструкције тајне из некомпатибилног хеша.

Задржите административни пут који не користи везу која се мигрира. Када нова провера аутентичности не успе, паузирајте групу и употребите њен документовани пут опоравка уместо да ослабите проверу аутентичности за све како бисте стигли рок.

Након што су групе покривене, повуците старе акредитиве позадинског система, профиле и односе поверења преко њихових власника. Потврдите да стари пут више не пушта кориснике и задржите пресликавање идентитета у политику без тајни које подршка још треба. Миграција је завршена када нови животни циклус ради и нико више не улази старим путем, а не када списак налога изгледа потпун.