Bị khoá tài khoản vì vòng lặp thử lại của VPN: hãy dừng máy khách trước

Lúc 02:40 tài khoản bị khoá và không có ai ngồi trước bàn phím. Một máy khách trên giá liên tục gửi mật khẩu nó đã lưu từ tháng trước, cổng kết nối liên tục từ chối, và bộ đếm phía sau cơ chế khoá cứ tăng lên mà không có người can dự. Đó là một vòng lặp thử lại chứ không phải một cuộc tấn công, và phải dừng nó trước khi tài khoản có thể được khôi phục.

Hãy xử lý nó như hai vấn đề theo một thứ tự cố định. Dừng nơi gửi trước, rồi khôi phục quyền truy cập, vì làm ngược lại sẽ khiến vòng lặp khởi động lại trong vài phút.

Tìm ra tiến trình đang gửi các lần thất bại

Bắt đầu từ các dấu thời gian trong hệ thống định danh và đối chiếu chúng với từng máy khách đang giữ tài khoản. Một hồ sơ được quản lý, một dịch vụ không người trực, một chiếc điện thoại trong ngăn kéo và một laptop dự phòng còn thông tin đăng nhập cũ đều có thể xác thực dưới cùng một danh tính. Cái thất bại vài giây một lần là vòng lặp, còn cái thất bại mỗi ngày một lần thường là người đã quên. Cả hai cùng nuôi một bộ đếm, và đó chính là cái bẫy.

Khi xem xét, hãy phân biệt một lần bị từ chối với một cổng kết nối không tới được. Hết thời gian chờ, phân giải tên thất bại hay một cổng bị đóng thường không làm tăng bộ đếm thất bại, trong khi một trao đổi xác thực hoàn tất trả về kết quả sai thông tin đăng nhập thì có. Trộn lẫn hai thứ sẽ dẫn tới cách khắc phục sai, vì một bên cần dừng máy khách còn bên kia cần sửa đường truyền.

Ba điều kiện quyết định cách xử lý

Ba dữ kiện thu hẹp việc này thành một đáp án. Thứ nhất, bản ghi cho thấy một lần từ chối rõ ràng hay một lỗi đường truyền. Thứ hai, danh tính đó có được dùng chung giữa các thiết bị hay dịch vụ hay không. Thứ ba, máy khách đang thử lại là do bạn quản lý hay do người khác kiểm soát.

Một lần từ chối rõ ràng từ một máy khách bạn kiểm soát nghĩa là hãy dừng máy khách đó, mở khoá qua con đường đã được phê duyệt và thực hiện đúng một lần đăng nhập có chủ đích. Một danh tính dùng chung đẩy câu trả lời về phía cấp phát lại chứ không phải mở khoá, vì vòng lặp sẽ tiếp diễn ngay khi thiết bị kia kết nối lại. Lỗi đường truyền chỉ về tầng mạng, nơi bảo vệ tài khoản hoàn toàn không phải là vấn đề.

Không nhánh nào trong số đó liên quan đến việc làm yếu đi lớp bảo vệ. Các ngưỡng khoá và giới hạn tốc độ tồn tại vì chính tín hiệu khiến bạn khó chịu trong một sự cố cũng là tín hiệu làm chậm một nỗ lực dò mật khẩu.

Dừng nơi gửi trước khi mở khoá

Hãy dừng đơn vị hoặc kết nối vẫn đang xác thực, và dừng theo cách tồn tại qua một lần khởi động lại. Tạm dừng máy khách là không đủ khi dịch vụ của nó được đặt tự khởi động cùng hệ thống.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Chờ vài phút và xác nhận bộ đếm thất bại ngừng tăng. Khoảng lặng đó là bằng chứng bạn đã tìm đúng nguồn. Nếu các lần thất bại vẫn tiếp diễn, vòng lặp đến từ nơi khác và bước mở khoá sẽ trở nên vô ích.

Chỉ khi đó mới dùng quy trình mở khoá hoặc khôi phục đã được nhà cung cấp ghi trong tài liệu, và sau đó thực hiện đúng một lần đăng nhập có kiểm soát từ thiết bị bạn định giữ lại. Các ngưỡng, thời gian chờ nguội và cách diễn đạt trong quy trình khôi phục tuỳ từng dịch vụ, nên hãy đọc chúng thay vì đoán một con số.

Loại bỏ nguyên nhân để nó không quay lại

Cập nhật thông tin đăng nhập đã lưu tại nơi nó thực sự thuộc về: khoá bảo mật của hệ điều hành, hồ sơ máy khách, hoặc cấu hình tài khoản dịch vụ. Xoá nó ở một chỗ trong khi chỗ khác vẫn giữ một bản sao chính là cách vòng lặp quay lại sau một tuần, thường là khi một chiếc laptop đã lâu không nối mạng được bật lại và phát lại giá trị đã lưu trong bộ nhớ đệm.

Hãy cho tự động hoá một danh tính riêng. Một tài khoản được cấp phát riêng, có thông tin đăng nhập riêng và giới hạn riêng, giúp một sự cố máy móc không khoá một người ra khỏi hộp thư, và làm cho sự cố có thể quy được trách nhiệm trong nhật ký. Thêm cơ chế lùi bước cho máy khách để một thông tin đăng nhập bị từ chối dừng việc thử lại thay vì lặp lại nó, và đặt cảnh báo cho các lần xác thực thất bại liên tiếp để vòng lặp tiếp theo được nhận ra trong vài phút chứ không phải đợi đến 02:40.

Khi gửi báo cáo tới bộ phận hỗ trợ, hãy giữ lại mã định danh tài khoản, các dấu thời gian và tên máy khách. Mật khẩu và tài liệu khôi phục không bao giờ thuộc về bản ghi đó.