Kuhamisha backend ya uthibitishaji wa VPN bila kutumia tena hashi za zamani

Majina ya mtumiaji yanaonekana kwenye saraka mpya, uhamishaji unatangazwa kuwa umekamilika, na bado kuingia kunashindikana. Lango bado linahitaji njia ya uthibitishaji inayotumika na matokeo sahihi ya idhini, na hakuna kati ya hivyo linatokana na saraka ambayo sasa ina akaunti. Kuhamisha backend ni mkato wenye mzunguko wa maisha, si kazi ya kunakili. Dalili iliyo hapa chini ndiyo inayofichua tofauti mara nyingi.

Dalili: akaunti zipo, vikao havipo

Saraka mpya ina kila jina la mtumiaji, ufungaji wa jaribio unafanikiwa, na mteja wa VPN bado anarudisha kushindwa kwa uthibitishaji. Mchanganyiko huo unamaanisha utambulisho upo, lakini njia ya uthibitishaji inayotumiwa na lango haifikii, au inafika kwa njia ambayo haiwezi kuikidhi. Zote mbili ni usanidi, na ni matatizo tofauti.

La kwanza ni nyaya: lango linaelekeza kwenye backend isiyojibu, linatumia siri ya pamoja ambayo upande mwingine hautarajii, au linaomba sifa ambayo huduma mpya hairudishi. La pili ni la kriptografia: njia inahitaji siri halisi, na hifadhi mpya ina hashi yake tu. Maandishi ya hitilafu yanafanana katika hali zote mbili, ndiyo sababu hizo mbili huchukuliwa kama tatizo moja.

Kutenganisha hizo mbili kabla ya kugusa akaunti kunaokoa wiki moja. Moja ni swali la uelekezaji na uaminifu, nyingine ni uamuzi kuhusu kuweka upya vyeti, na kuzichanganya huzalisha mabadiliko ambayo hakuna anayeweza kuyahusisha.

Chora mnyororo kabla ya kuhamisha mtu yeyote

Andika mambo sita kwa kila profaili ya mteja: njia ya nje ya uthibitishaji, njia yoyote ya ndani, utambulisho wa seva unaotarajiwa na mteja, kiolesura kati ya lango na backend, sifa ambayo lango huiweka kwenye uanachama wa kundi, na sera ya rasilimali inayotokana. Kuzisoma kwa mpangilio kunaonyesha kiungo gani hakina mmiliki. Kila kipengele kina mhusika, na mkato hushindikana pale ambapo hakuna aliyekagua.

Kuingia kwa kawaida kwenye saraka hupitisha karibu hakuna chochote cha mnyororo huo. Kunathibitisha kuwa akaunti ipo na nenosiri linafanya kazi, yaani sehemu ambayo haikuwa na shaka kamwe.

Hashi hazisafiri kati ya njia

Upatanishi wa vyeti lazima ukaguliwe mara moja, kabla ya kundi lolote kuhamishwa. FreeRADIUS inaeleza mgawanyiko wazi: ukaguzi wa CHAP ambao seva hufanya yenyewe unahitaji nenosiri halisi, na MS-CHAP inakubali nenosiri hilo au nyenzo ya NT inayofaa. Hash iliyoundwa kwa madhumuni mengine hailingani na hali yoyote, iwe na nguvu kiasi gani.

Tofauti iko kwa nani anayehesabu uthibitisho. Njia inayothibitisha kwa kujifunga kwenye saraka huiacha saraka ikague inachoweza. Njia inayothibitisha kwa kuhesabu upya jibu la changamoto inahitaji siri yenyewe, kwa sababu seva inapaswa kufanya hesabu ile ile.

Palipo na upungufu wa nyenzo, chaguo za uaminifu ni kuweka upya kunakotumika, kujiandikisha upya, huduma ya nje ya uthibitishaji au kubadilisha njia. Usafirishaji wa muda wa manenosiri yanayoweza kurejeshwa haupo kwenye orodha hiyo. Huunda hifadhi ya vyeti vya maandishi wazi katika wiki yenye machafuko zaidi ya mradi, na kwa kawaida huishi baada ya uhamishaji.

Kundi la majaribio, kisha mabadiliko ya mzunguko wa maisha

Hamisha kundi dogo la vitambulisho vilivyoidhinishwa na mteja halisi, na jaribu mambo manne: kuingia kipya, cheti kisichofaa kwa makusudi, rasilimali ambazo kikao kinaweza kufikia, na rasilimali ambazo hakipaswi kufikia. Kagua pia utambulisho wa seva uliokubaliwa na mteja, kwa sababu kutolingana kwa jina la cheti hakuonekani hadi mtu asome kumbukumbu ya mteja.

Kisha fanya mazoezi ya mabadiliko ambayo usambazaji unategemea kweli. Badilisha nenosiri, huisha au andikisha upya cheti, na uondoe ufikiaji kutoka akaunti moja ya majaribio. Baada ya kila moja, thibitisha ni kithibitishaji kipi kilishughulikia jaribio, kwa sababu kikao kilichoundwa kabla ya mkato kinaweza kuendelea kufanya kazi na hakithibitishi chochote kuhusu kuingia kunakofuata.

Tenganisha uwasilishaji wa profaili na mabadiliko ya utambulisho. Kila kundi linahitaji profaili iliyokusudiwa, hali yake ya cheti au usajili, huduma ya uthibitishaji inayopaswa kutumika na mtu wa mawasiliano wa msaada, na hakuna rekodi yoyote ya hizo inayopaswa kuwa na siri.

Ikiwa njia za zamani na mpya zinaishi pamoja, zifunge kwa tarehe ya mwisho. Kurudi nyuma kwa kiotomatiki kunaweza kumruhusu akaunti kupitia cheti cha zamani baada ya mmiliki mpya kuondoa ufikiaji, na hiyo ni kushuka kwa usalama kwa kujificha kama upatikanaji.

Kurudi nyuma hakuwezi kurejesha cheti

Kugeuza mkato kunaacha saraka iko hasa jinsi ilivyo sasa. Nenosiri lililowekwa upya linabaki lililowekwa upya, cheti kilichofutwa linabaki kimefutwa, na muundo wa cheti uliobadilishwa unabaki umebadilishwa. Hizo ni matukio katika saraka, na lango halikuwa chanzo chao kamwe. Urejeshaji lazima ufafanuliwe kwa kila tukio, na hakuna sehemu yake inayoweza kutegemea kujenga upya siri kutoka hash isiyolingana.

Weka njia ya utawala ambayo haitumii muunganisho unaohamishwa. Uthibitishaji mpya unaposhindikana, simamisha kundi na utumie njia yake ya urejeshaji iliyoandikwa, badala ya kudhoofisha uthibitishaji kwa kila mtu ili kufikia makataa.

Baada ya vikundi kufunikwa, ondoa vyeti vya zamani vya backend, profaili na mahusiano ya uaminifu kupitia wamiliki wao. Thibitisha kuwa njia ya zamani haikubali tena watumiaji, na uweke ramani ya utambulisho-hadi-sera isiyo na siri ambayo msaada bado unahitaji. Uhamishaji unakamilika pale mzunguko mpya wa maisha unafanya kazi na hakuna anayeingia tena kupitia njia ya zamani, si pale orodha ya akaunti inavyoonekana kamili.