எல்லா சாதனங்களையும் பூட்டாமல் VPN கடவுச்சொல்லை மாற்றுங்கள்

மூன்று தொலைபேசிகள், ஒரு ரவுட்டர் மற்றும் ஒரு கண்காணிப்புச் சோதனை இன்னும் பழைய கடவுச்சொல்லை வைத்திருக்கின்றன, அவற்றில் ஒன்று ஒவ்வொரு தொண்ணூறு வினாடிக்கும் மீண்டும் இணைகிறது. கணக்கின் கடவுச்சொல் பத்து நிமிடங்களுக்கு முன் மாறியது, எனவே அந்த வாடிக்கையாளர்கள் ஒவ்வொருவரும் இப்போது சேவையகம் நிராகரிக்கும் மதிப்பைச் சமர்ப்பிக்கிறார்கள். அந்தத் தருணத்தில்தான் கட்டுக்கதை உடைகிறது: கடவுச்சொல் மாற்றம் கணக்கைத் தொடுகிறது, ஒவ்வொரு சாதனத்திலும் இருக்கும் பழைய மதிப்பின் நகல்களை அல்ல. அடுத்து வருவது அந்த மாற்றம் செய்யாத வேலை.

கட்டுக்கதை: ஒரு மாற்றம், எல்லா இடத்திலும் ஒரே நேரத்தில்

கடவுச்சொல் மாற்றம் எல்லாவற்றையும் வெளியேற்றி தூய்மையான மீள் உள்நுழைவை கட்டாயப்படுத்துகிறது என்பது நம்பிக்கை. அப்படி நடக்காது, ஏனெனில் சேவையகம் கடைசியாக எந்தச் சான்றுகளை ஏற்றுக்கொண்டது என்பதை மட்டுமே கண்காணிக்கிறது, வாடிக்கையாளர்கள் தாங்கள் சேமித்ததை வைத்திருக்கும்போது. சேமித்த கடவுச்சொல் உள்ள சாதனம் அதைத் தனது சொந்த அட்டவணையின்படி மீண்டும் முயற்சிக்கிறது, யாராவது கணக்கு பூட்டப்பட்டதைக் கவனிக்கும் வரை அமைதியாகத் தோல்வியடைகிறது. நகல்கள் கணக்கிற்கு வெளியே வாழ்கின்றன என்பதை ஏற்றுக்கொண்டால், சுழற்றல் ஒரே செயலாகத் தோன்றுவதை நிறுத்துகிறது.

இவை எதுவும் சுழற்றலுக்கு எதிரானது அல்ல. சேமித்த நகல்களைப் பிறகு யோசிக்கும் விஷயமாக அல்ல, மாற்றத்தின் பகுதியாகக் கருதுவதற்கு ஆதரவாக உள்ளது. பூட்டுதல் பொதுவாக இணையான மீள்முயற்சிகளிலிருந்து வருகிறது: கணக்கு எண்ணி இயங்கும் வரை ஒவ்வொரு சாதனமும் தனது சொந்த அட்டவணையின்படி பழைய மதிப்பை அனுப்பிக்கொண்டே இருக்கிறது. பிறகு கணக்கு தாக்கப்பட்டதுபோல் தெரிகிறது, ஆனால் யாரும் மாற்றாத சான்றுகளே வழங்கப்படுகின்றன. இந்த வேறுபாடு முக்கியம், ஏனெனில் தீர்வு கடுமையான பூட்டல் கொள்கை அல்ல, சாதனங்களின் பட்டியல்.

சுழற்றலுக்கு முன் நகல்களைப் பட்டியலிடுங்கள்

கடவுச்சொல் படிவத்தைத் திறப்பதற்கு முன் பட்டியலை எழுதுங்கள். இந்தக் கணக்காக அங்கீகரிக்கப்படும் ஒவ்வொரு வாடிக்கையாளர், ஸ்கிரிப்ட், தானியக்கம் மற்றும் நிர்வகிக்கப்பட்ட சுயவிவரத்தைப் பட்டியலிடுங்கள்: தானாக இணையும் தொலைபேசி, இரண்டு ஆண்டுகளுக்கு முன் உள்ளமைக்கப்பட்ட ரவுட்டர், திங்கட்கிழமைகளில் மட்டும் விழிக்கும் மடிக்கணினி, மற்றும் ஒவ்வொரு நிமிடமும் முயற்சிக்கும் கண்காணிப்புச் சோதனை. ஒவ்வொன்றுக்கும் சான்றுகள் எங்கே சேமிக்கப்பட்டுள்ளன, மாற்றத்தின் போது சாதனத்தை அணுக முடியுமா, மீண்டும் இணைய முடியாவிட்டால் என்ன மீட்பு வழி உள்ளது என்பதை எழுதுங்கள். அந்தப் பட்டியலே ஆபத்தான மாற்றத்தைத் திட்டமிட்ட மாற்றமாக மாற்றுகிறது, மேலும் பழைய கடவுச்சொல் வேலை செய்வதை நிறுத்தும் முன் அது இருக்க வேண்டும்.

இணைப்பில்லாத சாதனங்கள் வழக்கமான தவறவிடல். இழுப்பறையில் உள்ள மடிக்கணினி மூன்று வாரங்கள் கழித்துத் திரும்பி மோசமான தருணத்தில் பழைய மதிப்பை முன்வைக்கிறது. அதன் இருப்பிடத்தையும் அட்டவணையையும் எழுதுங்கள், ஏனெனில் காத்திருப்பதற்குப் பதிலாக அதைத் துரத்த வேண்டும்.

லினக்ஸ் கூட்டத்தில் தேடல் புத்திசாலித்தனமல்ல, இயந்திரம். சான்று கோப்பைக் குறிப்பிடும் சுயவிவரங்களைத் தேடுங்கள், பின்னர் சான்று கோப்புகளையே தேடுங்கள், ஏனெனில் இரண்டாவது பட்டியலே மீண்டும் எழுதப்பட வேண்டியது. மேசை வாடிக்கையாளர்கள் மற்றும் தொலைபேசிகளுக்கும் பயிற்சியை மீண்டும் செய்யுங்கள், அங்கு சேமிப்பு பாதை அல்ல, சுயவிவரம் அல்லது விசைத்தொகுப்பு உள்ளீடு. இலக்கு வேலை செய்யக்கூடிய பட்டியல், ஒவ்வொரு நகலையும் கண்டுபிடிப்பதாகக் கூறும் ஸ்கேன் அல்ல.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

நகல்களை அவற்றை உடையவர்களுடன் ஒப்பிடுங்கள். யாரும் உரிமை கொள்ளாத சாதனம் யாரும் புதுப்பிக்காத சாதனம், மேலும் மீள்முயற்சியைத் தொடர அதிக வாய்ப்புள்ளதும் அதுவே.

நீங்கள் உண்மையில் எந்த ரகசியத்தைச் சுழற்றுகிறீர்கள்

கணக்கு கடவுச்சொல் VPN பயன்பாட்டில் ஒரே ஒரு சான்று மட்டுமே. விசை கடவுச்சொற்றொடர், சான்றிதழ் அடையாளம் மற்றும் விருப்பத் துணை ரகசியம் ஒவ்வொன்றுக்கும் அதன் சொந்த மாற்று வழியும் சொந்த உரிமையாளரும் உள்ளன. கணக்கு கடவுச்சொல்லை மாற்றுவது சான்றிதழால் அங்கீகரிக்கப்படும் சாதனத்திற்கு எதுவும் செய்யாது, சான்றிதழை மீண்டும் வழங்குவது சேமித்த கடவுச்சொல் உள்ள வாடிக்கையாளருக்கு எதுவும் செய்யாது. தீர்வைப் பெயரிடும் முன் ரகசியத்தைப் பெயரிடுங்கள்.

சுழற்றல் கொள்கையால் அல்ல, சந்தேகத்தால் இயக்கப்படுகிறது என்றால், சம்பவ செயல்முறை வசதித் திட்டத்தை மிஞ்சுகிறது. சான்றுகள் கோருவதை ரத்து செய்து சாதனப் பட்டியலில் கூடுதல் வேலையை ஏற்றுக்கொள்ளுங்கள். அந்த முடிவு சம்பவ உரிமையாளருக்கு உரியது, கடவுச்சொல் மீட்டமைப்புப் படிவத்தை தற்செயலாக வைத்திருப்பவருக்கு அல்ல.

சேமித்த மதிப்பு அது வாழும் இடத்திலேயே மாற்றுங்கள்

சேவை ஆவணப்படுத்தும் முறையின் மூலம் சான்றுகளை மாற்றுங்கள், பின்னர் சேமித்த நகலைப் புதுப்பிக்கவும் அல்லது நீங்கள் வைத்திருக்க விரும்பும் ஒவ்வொரு சாதனத்திலும் உள்நுழைவு ஓட்டத்தை இயக்கவும். அதை மீண்டும் எழுதும் மேலாளருக்குப் பின்னால் உள்ள உருவாக்கப்பட்ட உள்ளமைவைத் திருத்த வேண்டாம், ஏனெனில் மேலாளர் அடுத்த இயக்கத்தில் பழைய மதிப்பை மீட்டெடுக்கிறார், திருத்தம் தாமதமான பழுதாக மாறுகிறது. மேலாளர் படிக்கும் மூலத்தைப் புதுப்பிக்கவும், அல்லது வாடிக்கையாளரின் சொந்தச் சான்று இருப்பகத்தைப் பயன்படுத்தவும். எப்படியிருந்தாலும், சாதனம் வாடிக்கையாளர் உண்மையில் படிக்கும் இடத்தில் புதிய மதிப்புடன் முடிய வேண்டும்.

கடவுச்சொல் கோப்பைச் சேமிக்கும் வாடிக்கையாளருக்கு கோப்பு மீண்டும் எழுதப்பட வேண்டும், கேட்கும் வாடிக்கையாளருக்கு முழுமையான உள்நுழைவு தேவை. NetworkManager ரகசியத்தை இணைப்பு சுயவிவரத்தின் உள்ளே வைத்திருக்கிறது, எனவே மாற்றம் உரைத் தொகுப்பான் வழியாக அல்ல, nmcli வழியாகச் செல்கிறது:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

சான்று கோப்பைப் படிக்கும் சுயவிவரம் மூன்றாவது நிலை. அந்தக் கோப்பின் உள்ளடக்கத்தை மாற்றுங்கள், அதன் அனுமதிகளை மூடியே வைத்திருங்கள், அதைச் சுட்டும் சுயவிவரத்தைத் திருத்துவதற்குப் பதிலாக வாடிக்கையாளரை மீண்டும் ஏற்றுங்கள். சுயவிவரம் மாறவில்லை; அது படிக்கும் ரகசியம் மட்டுமே மாறியது.

ஒவ்வொரு இலக்கு சாதனத்தையும் ஒரு முறை வேண்டுமென்றே மீண்டும் இணைத்து எவை தோல்வியடைகின்றன எனப் பாருங்கள். ஒரு சாதனம் தொடர்ந்து தோல்வியடைந்தால், கடவுச்சொல்லை மீண்டும் மாற்றும் முன் அது சுட்டும் கணக்கையும் அது படிக்கும் இருப்பகத்தையும் பாருங்கள், ஏனெனில் இரண்டாவது மாற்றம் புதுப்பிக்க வேண்டிய நகல்களைப் பெருக்குகிறது. இரண்டு முறை தோல்வியடையும் சாதனம் பொதுவாக தவறான கணக்கைச் சுட்டுகிறது அல்லது நீங்கள் இன்னும் கண்டுபிடிக்காத இருப்பகத்தைப் படிக்கிறது. அதைச் சரிசெய்து, பின்னர் மீண்டும் இணையுங்கள்.

அமர்வுகளும் டோக்கன்களும் கடவுச்சொல்லை விட நீண்ட காலம் வாழ்கின்றன

கடவுச்சொல்லை மாற்றுவது தற்போதுள்ள அமர்வுகள் அல்லது தனிச் சான்றிதழ்கள் ரத்து செய்யப்பட்டதை நிரூபிக்காது. சில சேவைகள் அமர்வைக் காலாவதியாகும் வரை அல்லது வெளிப்படையாக முடிக்கும் வரை உயிருடன் வைத்திருக்கின்றன, வழங்கப்பட்ட டோக்கன்கள் அவற்றின் சொந்த ஆயுளைக் கொண்டுள்ளன. மாற்றம் உலகளாவியது எனக் கருதுவதற்குப் பதிலாக சேவை உண்மையில் என்ன செய்கிறது என்பதைச் சரிபார்க்கவும். மாற்றம் சந்தேகத்தால் இயக்கப்பட்டிருந்தால், அமர்வுகளை வெளிப்படையாக முடித்து முடிவை உறுதிப்படுத்துங்கள்.

NIST SP 800-63B இல் உள்ள சான்று வாழ்க்கைச் சுழற்சி வழிகாட்டுதல் அங்கீகரிப்புகள் மற்றும் அமர்வுகளைத் தனித் தனி வகைகளில் வைத்திருக்கிறது, அதனால்தான் கடவுச்சொல் மாற்றமும் உலகளாவிய வெளியேற்றமும் வெவ்வேறு செயல்பாடுகள். அவற்றை இரண்டு நிறைவு அளவுகோல்கள் கொண்ட இரண்டு பணிகளாகக் கருதுங்கள். முதல் ஒன்று புதிய மதிப்பு வேலை செய்யும்போது முடிகிறது, இரண்டாவது பழைய அமர்வுகள் போனபின் முடிகிறது.

புதிய கடவுச்சொல்லைப் பதிவில் எழுதாமல் நிறைவைப் பதிவு செய்யுங்கள். சான்றுகளைக் கொண்ட சுழற்றல் பதிவு பகிரப்பட்ட வட்டில் காத்திருக்கும் புதிய சம்பவம். தேதி, புதுப்பிக்கப்பட்ட சாதனங்கள் மற்றும் இன்னும் மீதமுள்ள சாதனங்களை எழுதுங்கள்.