ماذا يحدث عندما يحتفظ مستخدم أُلغيت صلاحياته ببيانات اعتماد NAS المخزنة مؤقتًا؟

إيفا وونغ

IceWhale author

إيفا وونغ هي كاتبة تقنية و ومهندسة هاوية في ZimaSpace. مهووسة بالتكنولوجيا مدى الحياة ولديها شغف بالمختبرات المنزلية والبرمجيات مفتوحة المصدر، تتخصص في تبسيط المفاهيم التقنية المعقدة إلى أدلة عملية وسهلة الفهم. تؤمن إيفا بأن الاستضافة الذاتية يجب أن تكون ممتعة وليست مخيفة. من خلال دروسها، تمكّن المجتمع من تبسيط إعدادات الأجهزة، بدءًا من بناء أول نظام تخزين شبكي NAS وحتى إتقان حاويات Docker.

What Happens When a Revoked User Keeps Cached NAS Credentials?

قد يحتفظ مستخدم أُلغيت صلاحيته بإمكانية الوصول إلى NAS عندما تظل الجلسات أو التذاكر أو الرموز أو عمليات التحميل أو النسخ المحلية الحالية صالحة بعد حظر المصادقة الجديدة.

يؤدي حذف حساب أو عضوية مجموعة إلى تغيير قرارات نظام الهوية المستقبلية، لكنه لا يلغي تلقائيًا كل بيانات الاعتماد التي سبق إصدارها لأجهزة الكمبيوتر المحمولة والهواتف وعملاء المزامنة والمتصفحات واتصالات SMB وتطبيقات WebDAV وخدمات الوصول عن بُعد. تنتهي صلاحية بعض بيانات الاعتماد تلقائيًا، بينما يتطلب بعضها إلغاءً صريحًا، ويخوّل بعضها جلسةً لا تعود تتصل بموفر الهوية عند كل طلب. تفصل الأقسام التالية بين إلغاء الحساب وإنهاء الجلسة، وتوضح ما الذي يستمر في العمل، وتبيّن كيفية التحقق من انتهاء وصول أفراد المنزل فعليًا.

يوقف إلغاء الحساب عادةً إصدار بيانات الاعتماد الجديدة أولًا

يؤدي تعطيل مستخدم إلى إخبار موفر الهوية برفض عمليات تسجيل الدخول أو طلبات الرموز المستقبلية. لكنه لا يُخطر بالضرورة كل خدمة NAS وعميل سبق لهما إجراء المصادقة.

توضح أنظمة Kerberos هذه الفجوة: إذ يمكن رفض التذاكر الجديدة لحساب معطل، بينما تظل تذاكر الخدمة الحالية قابلة للاستخدام حتى انتهاء صلاحيتها، ما لم تُجرِ الخدمة فحصًا إضافيًا لحالة الحساب. ويعتمد السلوك الدقيق على البروتوكول وإعدادات الخدمة ومدة صلاحية التذكرة.

ينشئ هذا نافذةً للإلغاء بدلًا من قطع شامل وفوري. يتغير سجل الهوية الآن، بينما تختفي بيانات الاعتماد المُصدرة وفق جدولها الزمني الخاص.

يمكن أن تستمر جلسات SMB والتطبيقات النشطة بعد تغيير الحساب

قد يكون لدى العميل اتصال TCP موثَّق مسبقًا، أو مشاركة محمّلة، أو جلسة متصفح، أو ملف تعريف ارتباط لتطبيق. وقد لا تعيد الطلبات داخل تلك الجلسة إجراء قرار تسجيل الدخول الكامل.

توضح Microsoft أن تذاكر Kerberos المخزنة مؤقتًا يمكن إعادة استخدامها حتى انتهاء صلاحيتها. كما يمكن لخدمة NAS الاحتفاظ بمقابض الملفات المفتوحة وحالة الجلسة حتى إغلاق الاتصال أو انتهاء صلاحية التذكرة أو إنهاء المسؤول للجلسة.

قد يؤدي تغيير كلمة المرور إلى حظر المصادقة التالية، بينما تستمر المشاركة المحمّلة حاليًا في القراءة أو الكتابة عبر جلسة قائمة.

لذلك يتطلب إنهاء وصول المستخدم فورًا حصر الجلسات وإنهاءها، وليس مجرد إجراء تغييرات في الدليل.

تختلف آلية إلغاء رموز الوصول عن رموز التحديث

قد تستخدم تطبيقات NAS على الويب والهواتف رموز وصول قصيرة العمر، إلى جانب رموز تحديث أطول عمرًا. ويؤدي إزالة مسار التحديث إلى منع التجديدات المستقبلية، لكنه قد يترك رمز الوصول الحالي صالحًا حتى انتهاء صلاحيته.

تشير Auth0 إلى أن بعض رموز الوصول المُصدرة لا يمكن إلغاؤها بشكل فردي، لذا تتمثل الوسيلة العملية في اعتماد مدة صلاحية قصيرة مع إلغاء بيانات اعتماد التحديث. ويمكن لتطبيقات NAS التي تدير الحالة استخدام قائمة حظر أو مخزن جلسات، ورفض الرمز فورًا بدلًا من ذلك.

يوازن التصميم الأكثر أمانًا بين مدة صلاحية بيانات الاعتماد ومستوى المخاطر. ولا ينبغي أن تظل رموز المسؤول أو الرموز التي تسمح بالكتابة عن بُعد صالحة لأيام لمجرد تقليل طلبات تسجيل الدخول.

-15% OFF

ZimaBoard 2 - خادم منزلي صغير لأفكارك الكبيرة

Single board computer zimaboard2

يمكن لذاكرات بيانات الاعتماد غير المتصلة أن تظل قادرة على فتح جهاز العميل

قد تسمح بيانات اعتماد تسجيل الدخول المخزنة مؤقتًا لجهاز كمبيوتر محمول بتسجيل الدخول أثناء عدم اتصاله بالدليل. ولا يمنح ذلك بالضرورة وصولًا جديدًا إلى الشبكة، لكنه قد يكشف الملفات المتزامنة وكلمات المرور المحفوظة ومفاتيح محركات الأقراص المحمّلة وجلسات التطبيقات المخزنة محليًا.

يميز أحد عروض Kerberos التوضيحية بين حالة تسجيل الدخول المخزنة مؤقتًا وتذاكر الخدمة المستخدمة للمصادقة على الشبكة. ولا يمكن لإلغاء مستخدم NAS محو الملفات النصية العادية التي تمت مزامنتها أو تنزيلها مسبقًا إلى جهاز غير مُدار.

لذلك يجب أن تشمل عملية إنهاء الوصول نقطة النهاية: المسح عن بُعد حيثما كان مدعومًا، وإزالة بيانات المزامنة المحلية، وتنظيف سلسلة المفاتيح، واسترداد الجهاز، والتأكد من أن المجلدات المشفرة غير المتصلة لم تعد تُفتح.

قد لا تؤثر تغييرات الأذونات في الملفات المفتوحة مسبقًا

غالبًا ما تتحقق التطبيقات من الوصول عند فتح ملف أو بدء جلسة أو إنشاء نتيجة. وقد لا تعيد تقييم عضوية المجموعة عند كل قراءة من مقبض مفتوح مسبقًا أو استجابة مخزنة مؤقتًا.

تشير نقاشات دعم Microsoft إلى أن تغييرات المجموعات والتذاكر قد تتطلب رموز وصول جديدة بعد تسجيل الخروج أو إعادة الاتصال، قبل أن تنعكس العضوية المحدّثة. وقد توجد آليات تخزين مؤقت مشابهة في الوكلاء العكسيين وتطبيقات الصور وفهارس البحث والبرمجيات الوسيطة للتفويض.

أجبر تسجيل الخروج، وافصل عمليات التحميل، وأعد تشغيل جلسات التطبيقات المتأثرة عند الحاجة، وأبطل ذاكرات التخزين المؤقت للتفويض التي تستمر بعد سجل الهوية الأساسي.

يتطلب الإلغاء الكامل اختبارًا متعدد الطبقات لإنهاء الوصول

ابدأ بحساب الهوية، ثم احصر جلسات SMB وجلسات الويب ورموز API ورموز التحديث ووصول VPN وكلمات مرور التطبيقات وعملاء المزامنة والروابط المشتركة وشهادات الأجهزة ومفاتيح التشفير المرتبطة بالمستخدم.

تؤكد الأبحاث الأمنية حول الإلغاء أن الإلغاء الفوري صعب عندما يمتلك المستخدمون بالفعل مواد فك تشفير مستقلة. فلا يستطيع NAS إلغاء النسخ النصية العادية التي نسخها مستخدم سابق، ولا يمكنه إبطال مفاتيح التشفير الموجودة لدى العميل دون إعادة تشفير البيانات المحمية أو تغيير بنية فك التشفير.

ينبغي أن تحدد حوكمة الوصول المنزلي في ZimaSpace من يحق له إزالة المستخدمين وتدوير بيانات الاعتماد المشتركة واسترداد الأجهزة والتحقق من انتهاء الوصول عبر الخدمات المحلية وعن بُعد.

اختبر من أجهزة المستخدم الذي أُلغيت صلاحيته فعليًا قبل إعادة التشغيل وبعدها، وبعد إعادة الاتصال بالشبكة وانتهاء صلاحية الرمز وإعادة تشغيل المزامنة. لا يكتمل الإلغاء إلا عند فشل تسجيل الدخول الجديد، وإغلاق الجلسات النشطة، وتعذر استخدام التفويض المخزن مؤقتًا، ومعالجة النسخ المحلية المحتفظ بها وفقًا للسياسة.

الأسئلة الشائعة

هل يؤدي تغيير كلمة مرور NAS إلى قطع جميع الجلسات النشطة؟

ليس دائمًا. فقد تستمر جلسات SMB أو المتصفح أو API أو التطبيق الحالية حتى إغلاقها أو انتهاء صلاحيتها أو إبطالها صراحةً من جانب الخدمة.

هل يمكن للإلغاء حذف الملفات التي نزّلها المستخدم مسبقًا؟

لا. إذ لا تستطيع آليات التحكم بالوصول من جانب الخادم محو النسخ النصية العادية المستقلة، إلا إذا كانت نقطة النهاية مُدارة وتدعم الحذف عن بُعد، أو ظلت البيانات ضمن تشفير قابل للإلغاء.

هل ينبغي للمسؤولين تقصير مدة صلاحية كل رمز؟

تقلل المدد الأقصر نافذة الإلغاء، لكنها تزيد الاعتماد على التجديد والتوافر. وينبغي أن تستخدم النطاقات عالية المخاطر بيانات اعتماد أقصر عمرًا من الجلسات منخفضة المخاطر المخصصة للقراءة فقط.