VPN parolini barcha qurilmalarni qulflamasdan almashtirish

Uchta telefon, bitta router va bitta kuzatuv tekshiruvi hali ham eski parolni ushlab turadi, ulardan biri har to'qson soniyada qayta ulanadi. Hisob paroli o'n daqiqa oldin o'zgargan, shuning uchun bu mijozlarning har biri endi server rad etadigan qiymatni yubormoqda. Afsona aynan shu payt buziladi: parol o'zgarishi hisobga tegadi, har bir qurilmadagi eski qiymat nusxalariga emas. Keyin keladigan narsa o'zgarish qilmagan ishdir.

Afsona: bitta o'zgarish, hamma joyda birdaniga

Parol o'zgarishi hammasini tizimdan chiqaradi va toza qayta kirishni majbur qiladi degan ishonch bor. Unday emas, chunki server faqat oxirgi qabul qilgan ma'lumotlarini kuzatadi, mijozlar esa saqlagan narsalarini ushlab turadi. Saqlangan paroli bor qurilma uni o'z jadvali bo'yicha qayta sinab ko'radi va kimdir hisob qulflanganini payqaguncha jimgina muvaffaqiyatsizlikka uchraydi. Nusxalar hisobdan tashqarida yashaydi deb qabul qilsangiz, rotatsiya endi bitta harakatdek ko'rinmaydi.

Bularning hech biri rotatsiyaga qarshi emas. Bu saqlangan nusxalarni keyingi fikr emas, o'zgarishning qismi deb hisoblashni qo'llab-quvvatlaydi. Qulflash odatda parallel qayta urinishlardan kelib chiqadi: har bir qurilma hisoblagich ishga tushguncha eski qiymatni o'z jadvali bo'yicha yuborishda davom etadi. Shunda hisob hujumga uchragandek ko'rinadi, aslida esa unga hech kim almashtirmagan ma'lumotlar taklif qilinmoqda. Bu farq muhim, chunki yechim qattiyroq qulflash siyosati emas, qurilmalar ro'yxatidir.

Rotatsiyadan oldin nusxalarni ro'yxatga oling

Parol formasini ochishdan oldin ro'yxatni yozing. Bu hisob sifatida autentifikatsiyadan o'tadigan har bir mijoz, skript, avtomatlashtirish va boshqariladigan profilni sanang: o'zi ulanadigan telefon, ikki yil oldin sozlangan router, faqat dushanba kuni uyg'onadigan noutbuk va har daqiqada urinib ko'radigan kuzatuv tekshiruvi. Har biri uchun ma'lumotlar qayerda saqlanishini, o'zgarish paytida qurilmaga yetib borish mumkinligini va qayta ulanib bo'lmasa qanday tiklash yo'li borligini yozing. Aynan shu ro'yxat xavfli o'zgarishni rejalashtirilgan o'zgarishga aylantiradi va eski parol ishlashdan to'xtashidan oldin mavjud bo'lishi kerak.

Oflayn qurilmalar klassik o'tkazib yuborishdir. Tortmada yotgan noutbuk uch haftadan keyin qaytib keladi va eng yomon paytda eskirgan qiymatni taqdim etadi. Uning joyi va jadvalini ham yozing, chunki kutish emas, ta'qib qilish kerak bo'ladi.

Linux flotida qidiruv aqlli emas, mexanik. Ma'lumotlar fayliga havola qiladigan profillarni qidiring, keyin ma'lumotlar fayllarining o'zini qidiring, chunki qayta yozilishi kerak bo'lgan ikkinchi ro'yxat. Mashqni ish stoli mijozlari va telefonlar uchun ham takrorlang, u yerda ombor yo'l emas, profil yoki kalit halqa yozuvidir. Maqsad ishlash mumkin bo'lgan ro'yxat, har bir nusxani topaman deb da'vo qiladigan skan emas.

grep -rl auth-user-pass /etc/openvpn /etc/NetworkManager
grep -rl auth-user-pass ~/.config 2>/dev/null

Nusxalarni ularning egalari bilan o'lchang. Hech kim da'vo qilmaydigan qurilma hech kim yangilamaydigan qurilma, va qayta urinishni davom ettirish ehtimoli eng yuqori bo'lgani ham o'sha.

Siz aslida qaysi sirni aylantirmoqdasiz

Hisob paroli VPN joylashtirishidagi bitta ma'lumotdir. Kalit paroli, sertifikat identifikatori va ixtiyoriy hamkor siri har birining o'z almashtirish yo'li va o'z egasi bor. Hisob parolini almashtirish sertifikat bilan autentifikatsiyadan o'tadigan qurilma uchun hech narsa qilmaydi, sertifikatni qayta berish esa saqlangan paroli bor mijoz uchun hech narsa qilmaydi. Yechimni nomlashdan oldin sirni nomlang.

Agar rotatsiya siyosatdan emas, shubhadan kelib chiqsa, hodisa jarayoni qulaylik rejasidan ustun turadi. Dalillar talab qilgan narsani bekor qiling va qurilmalar ro'yxatidagi qo'shimcha ishni qabul qiling. Bu qaror hodisa egasiga tegishli, parolni tiklash formasini tasodifan ushlab turgan kishiga emas.

Saqlangan qiymatni u yashaydigan joyda almashtiring

Ma'lumotlarni xizmat hujjatlashtirgan mexanizm orqali o'zgartiring, so'ngra saqlangan nusxani yangilang yoki saqlab qolmoqchi bo'lgan har bir qurilmada kirish oqimini ishga tushiring. Uni qayta yozadigan menejer orqasidagi yaratilgan konfiguratsiyani tahrirlamang, chunki menejer keyingi ishga tushishda eskiroq qiymatni tiklaydi va tahrir kechiktirilgan nosozlikka aylanadi. Menejer o'qiydigan manbani yangilang yoki mijozning o'z ma'lumotlar omboridan foydalaning. Qanday bo'lmasin, qurilma mijoz haqiqatan o'qiydigan joyda yangi qiymat bilan tugashi kerak.

Parol faylini saqlaydigan mijoz fayl qayta yozilishiga muhtoj, so'raydigan mijoz esa tugallangan kirishga muhtoj. NetworkManager sirni ulanish profilida saqlaydi, shuning uchun o'zgarish matn muharriri emas, nmcli orqali o'tadi:

nmcli connection modify work vpn.secrets "password=NEW"
nmcli connection up work

Ma'lumotlar faylini o'qiydigan profil uchinchi holatdir. O'sha fayl mazmunini almashtiring, ruxsatlarini yopiq holda qoldiring va unga ishora qiladigan profilni tahrirlash o'rniga mijozni qayta yuklang. Profil o'zgarmadi; faqat u o'qiydigan sir o'zgardi.

Har bir mo'ljallangan qurilmani bir marta ataylab qayta ulang va qaysilari muvaffaqiyatsizlikka uchrashini kuzating. Agar qurilma muvaffaqiyatsizlikka uchrashda davom etsa, parolni yana o'zgartirishdan oldin u ishora qilgan hisobni va u o'qiydigan omborni ko'ring, chunki ikkinchi o'zgarish yangilanishi kerak bo'lgan nusxalarni ko'paytiradi. Ikki marta muvaffaqiyatsizlikka uchraydigan qurilma odatda noto'g'ri hisobga ishora qiladi yoki siz hali topmagan omborni o'qiydi. Buni tuzating, so'ngra qayta ulang.

Sessiyalar va tokenlar paroldan uzoqroq yashaydi

Parolni o'zgartirish mavjud sessiyalar yoki alohida sertifikatlar bekor qilinganini isbotlamaydi. Ba'zi xizmatlar sessiyani muddati tugaguncha yoki aniq tugatilguncha tirik saqlaydi, berilgan tokenlar esa o'z umriga ega. O'zgarish global bo'lgan deb taxmin qilish o'rniga xizmat aslida nima qilishini tekshiring. Agar o'zgarish shubhadan kelib chiqqan bo'lsa, sessiyalarni aniq tugating va natijani tasdiqlang.

NIST SP 800-63B dagi ma'lumotlar hayot tsikli bo'yicha qo'llanma autentifikatorlar va sessiyalarni alohida toifalarda saqlaydi, shuning uchun parol o'zgarishi va global chiqish turli operatsiyalardir. Ularni ikkita tugatish mezoniga ega ikkita vazifa deb biling. Birinchisi yangi qiymat ishlaganda tugaydi, ikkinchisi eski sessiyalar yo'qolganda tugaydi.

Yangi parolni yozuvga yozmasdan tugatishni qayd eting. Ma'lumotlarni o'z ichiga olgan rotatsiya jurnali umumiy diskda kutayotgan yangi hodisadir. Sana, yangilangan qurilmalar va hali qolgan qurilmalarni yozing.