Tüm cihazları kilitlemeden VPN parolasını değiştirme

Üç telefon, bir yönlendirici ve bir izleme kontrolü hâlâ eski parolayı tutuyor ve biri her doksan saniyede yeniden bağlanıyor. Hesap parolası on dakika önce değişti, bu yüzden bu istemcilerin her biri artık sunucunun reddettiği bir değer gönderiyor. Mitin kırıldığı an burasıdır: parola değişikliği hesaba dokunur, her cihazda duran eski değerin kopyalarına değil. Bunu izleyen şey, değişikliğin yapmadığı iştir.

Mit: tek değişiklik, her yerde aynı anda

İnanış, parola değişikliğinin her şeyin oturumunu kapatıp temiz bir yeniden oturum açmayı zorunlu kıldığıdır. Öyle değildir, çünkü sunucu yalnızca en son hangi kimlik bilgisini kabul ettiğini izler, istemciler ise kaydettiklerini tutar. Kayıtlı parolası olan bir cihaz onu kendi programına göre yeniden dener ve biri hesabın kilitlendiğini fark edene kadar sessizce başarısız olur. Kopyaların hesabın dışında yaşadığını kabul ettiğinizde, rotasyon artık tek bir eylem gibi görünmez.

Bunların hiçbiri rotasyona karşı değildir. Kayıtlı kopyaları sonradan akla gelen bir şey değil, değişikliğin parçası olarak görmeyi savunur. Kilitleme genellikle paralel yeniden denemelerden gelir: her cihaz sayaç devreye girene kadar eski değeri kendi programına göre göndermeye devam eder. Sonra hesap saldırıya uğramış görünür, oysa ona yalnızca kimsenin değiştirmediği kimlik bilgileri sunulur. Bu ayrım önemlidir, çünkü çözüm daha katı bir kilitleme politikası değil, cihaz listesidir.

Rotasyondan önce kopyaların envanterini çıkarın

Parola formunu açmadan önce envanteri yazın. Bu hesap olarak kimlik doğrulayan her istemciyi, betiği, otomasyonu ve yönetilen profili listeleyin: kendi kendine bağlanan telefon, iki yıl önce yapılandırılan yönlendirici, yalnızca pazartesileri uyanan dizüstü bilgisayar ve her dakika deneyen izleme kontrolü. Her biri için kimlik bilgisinin nerede saklandığını, cihaza değişiklik sırasında ulaşılıp ulaşılamayacağını ve yeniden bağlanamazsa hangi kurtarma yolunun olduğunu not edin. Riskli bir değişikliği planlı bir değişikliğe çeviren şey bu listedir ve eski parola çalışmayı bırakmadan önce var olmalıdır.

Çevrimdışı cihazlar klasik gözden kaçırmadır. Çekmecedeki bir dizüstü bilgisayar üç hafta sonra geri döner ve eski değeri en kötü anda sunar. Konumunu ve programını da not edin, çünkü onu beklemek yerine peşinden koşmanız gerekecek.

Bir Linux filosunda arama akıllı değil, mekaniktir. Kimlik bilgisi dosyasına başvuran profilleri, ardından kimlik bilgisi dosyalarının kendisini arayın, çünkü yeniden yazılması gereken ikinci listedir. Egzersizi masaüstü istemciler ve telefonlar için de yineleyin; orada depo bir yol değil, profil veya anahtarlık girdisidir. Amaç, üzerinde çalışabileceğiniz bir listedir; her kopyayı bulduğunu iddia eden bir tarama değil.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Kopyaları onlara sahip olan insanlarla tartın. Kimsenin sahip çıkmadığı cihaz, kimsenin güncellemeyeceği cihazdır ve yeniden denemeye devam etme olasılığı en yüksek olan da odur.

Aslında hangi sırrı döndürüyorsunuz

Hesap parolası bir VPN kurulumundaki tek kimlik bilgisidir. Anahtar parolası, sertifika kimliği ve isteğe bağlı eş sırrı, her birinin kendi değiştirme yolu ve kendi sahibi vardır. Hesap parolasını değiştirmek sertifikayla kimlik doğrulayan bir cihaz için hiçbir şey yapmaz, sertifikayı yeniden vermek ise kayıtlı parola tutan bir istemci için hiçbir şey yapmaz. Çözümü adlandırmadan önce sırrı adlandırın.

Rotasyon politikadan değil şüpheden kaynaklanıyorsa, olay süreci kolaylık planından önce gelir. Kanıtların gerektirdiğini iptal edin ve cihaz listesindeki ek işi kabul edin. Bu karar olay sahibinindir, parola sıfırlama formunu tesadüfen elinde tutanın değil.

Kayıtlı değeri yaşadığı yerde değiştirin

Kimlik bilgisini hizmetin belgelediği mekanizmayla değiştirin, ardından kayıtlı kopyayı güncelleyin veya korumak istediğiniz her cihazda oturum açma akışını çalıştırın. Onu yeniden yazan bir yöneticinin arkasındaki oluşturulmuş yapılandırmayı düzenlemeyin, çünkü yönetici bir sonraki çalıştırmada daha eski değeri geri yükler ve düzenleme gecikmeli bir arızaya dönüşür. Yöneticinin okuduğu kaynağı güncelleyin veya istemcinin kendi kimlik bilgisi deposunu kullanın. Her durumda, cihaz yeni değerle istemcinin gerçekten okuduğu yerde bitmelidir.

Parola dosyası saklayan bir istemci dosyanın yeniden yazılmasına ihtiyaç duyar, soran bir istemci ise tamamlanmış bir oturum açmaya ihtiyaç duyar. NetworkManager sırrı bağlantı profilinde tutar, bu yüzden değişiklik bir metin düzenleyici yerine nmcli üzerinden geçer:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Kimlik bilgisi dosyası okuyan bir profil üçüncü durumdur. O dosyanın içeriğini değiştirin, izinlerini kapalı tutun ve ona işaret eden profili düzenlemek yerine istemciyi yeniden yükleyin. Profil değişmedi; yalnızca okuduğu sır değişti.

Her hedef cihazı bir kez bilinçli olarak yeniden bağlayın ve hangilerinin başarısız olduğunu görün. Bir cihaz başarısız olmaya devam ederse, parolayı yeniden değiştirmeden önce işaret ettiği hesaba ve okuduğu depoya bakın, çünkü ikinci bir değişiklik güncellenmesi gereken kopyaları çoğaltır. İki kez başarısız olan bir cihaz genellikle yanlış hesaba işaret eder veya henüz bulmadığınız bir depoyu okur. Bunu düzeltin, sonra yeniden bağlanın.

Oturumlar ve belirteçler paroladan daha uzun yaşar

Parolayı değiştirmek, mevcut oturumların veya ayrı sertifikaların iptal edildiğini kanıtlamaz. Bazı hizmetler bir oturumu süresi dolana veya açıkça sonlandırılana kadar canlı tutar ve verilen belirteçler kendi ömürlerini taşır. Değişikliğin küresel olduğunu varsaymak yerine hizmetin gerçekte ne yaptığını kontrol edin. Değişiklik şüpheden kaynaklandıysa oturumları açıkça sonlandırın ve sonucu doğrulayın.

NIST SP 800-63B'deki kimlik bilgisi yaşam döngüsü rehberi, kimlik doğrulayıcıları ve oturumları ayrı kategorilerde tutar; bu yüzden parola değişikliği ile küresel oturum kapatma farklı işlemlerdir. Bunları iki tamamlanma ölçütü olan iki görev olarak ele alın. Birincisi yeni değer çalıştığında, ikincisi eski oturumlar gittiğinde biter.

Yeni parolayı kayda yazmadan tamamlanmayı kaydedin. Kimlik bilgisini içeren bir rotasyon günlüğü, paylaşılan bir diskte bekleyen yeni bir olaydır. Tarihi, güncellenen cihazları ve hâlâ bekleyen cihazları not edin.