Was passiert, wenn ein gesperrter Benutzer weiterhin zwischengespeicherte NAS-Anmeldedaten besitzt?

Ein deaktivierter Benutzer kann weiterhin auf das NAS zugreifen, wenn bestehende Sitzungen, Tickets, Token, Einbindungen oder lokale Kopien nach der Sperrung der neuen Authentifizierung noch gültig sind.

Das Entfernen eines Kontos oder einer Gruppenmitgliedschaft ändert die künftigen Entscheidungen des Identitätssystems, macht jedoch nicht automatisch jede bereits an Laptops, Smartphones, Synchronisationsclients, Browser, SMB-Verbindungen, WebDAV-Apps und Fernzugriffsdienste ausgegebene Berechtigung rückgängig. Einige Berechtigungen laufen von selbst ab, andere erfordern einen ausdrücklichen Widerruf, und manche autorisieren eine Sitzung, die den Identitätsanbieter nicht bei jeder Anfrage kontaktiert. Die folgenden Abschnitte trennen den Kontowiderruf von der Sitzungsbeendigung, erklären, was weiterhin funktioniert, und zeigen, wie sich überprüfen lässt, ob der Zugriff im Haushalt tatsächlich beendet wurde.

Der Kontowiderruf stoppt in der Regel zuerst die Ausstellung neuer Berechtigungen

Durch die Deaktivierung eines Benutzers weist der Identitätsanbieter künftige Anmeldungen oder Token-Anfragen zurück. Bereits authentifizierte NAS-Dienste und Clients werden dadurch jedoch nicht unbedingt benachrichtigt.

Kerberos-Systeme veranschaulichen diese Lücke: Ein deaktiviertes Konto kann bei neuen Tickets abgewiesen werden, während bestehende Diensttickets bis zu ihrem Ablauf nutzbar bleiben, sofern der Dienst keine zusätzliche Kontostatusprüfung durchführt. Das genaue Verhalten hängt vom Protokoll, der Dienstkonfiguration und der Ticketlaufzeit ab.

Dadurch entsteht ein Widerrufsfenster statt einer sofortigen, universellen Sperre. Der Identitätseintrag wird jetzt geändert, während ausgegebene Berechtigungen nach ihrem eigenen Zeitplan verschwinden.

Aktive SMB- und Anwendungssitzungen können die Kontoänderung überdauern

Ein Client kann bereits über eine authentifizierte TCP-Verbindung, eine eingebundene Freigabe, eine Browsersitzung oder ein Anwendungscookie verfügen. Anfragen innerhalb dieser Sitzung wiederholen möglicherweise nicht die vollständige Anmeldeentscheidung.

Microsoft erklärt, dass zwischengespeicherte Kerberos-Tickets bis zu ihrem Ablauf wiederverwendet werden können. Ein NAS-Dienst kann außerdem geöffnete Dateihandles und den Sitzungsstatus beibehalten, bis die Verbindung geschlossen wird, das Ticket abläuft oder ein Administrator die Sitzung beendet.

Eine Passwortänderung kann die nächste Authentifizierung blockieren, während die aktuell eingebundene Freigabe über eine bestehende Sitzung weiterhin Lese- oder Schreibzugriffe ermöglicht.

Eine sofortige Deprovisionierung erfordert daher die Auflistung und Beendigung von Sitzungen, nicht nur Änderungen im Verzeichnis.

Zugriffstoken und Aktualisierungstoken werden unterschiedlich widerrufen

Web- und mobile NAS-Apps verwenden möglicherweise kurzlebige Zugriffstoken sowie länger gültige Aktualisierungstoken. Das Unterbinden der Aktualisierung verhindert eine künftige Verlängerung, lässt das aktuelle Zugriffstoken jedoch möglicherweise bis zu seinem Ablauf gültig.

Auth0 weist darauf hin, dass einige ausgegebenen Zugriffstoken nicht einzeln widerrufen werden können. Die praktische Kontrolle besteht daher in einer kurzen Laufzeit in Verbindung mit dem Widerruf der Aktualisierungsberechtigungen. Zustandsbehaftete NAS-Anwendungen können stattdessen eine Sperrliste oder einen Sitzungsspeicher führen und das Token sofort zurückweisen.

Das sicherste Design stimmt die Lebensdauer einer Berechtigung auf das Risiko ab. Administrator- und Remote-Schreibtoken sollten nicht tagelang gültig bleiben, nur um die Zahl der Anmeldeaufforderungen zu reduzieren.

-15% OFF

ZimaBoard 2 – Mini-Heimserver für Ihre große Idee

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

Offline-Berechtigungscaches können das Clientgerät weiterhin entsperren

Zwischengespeicherte Anmeldedaten können einem Laptop die Anmeldung ermöglichen, während er vom Verzeichnis getrennt ist. Das gewährt nicht unbedingt neuen Netzwerkzugriff, kann jedoch synchronisierte Dateien, gespeicherte Passwörter, Schlüssel für eingebundene Laufwerke und lokal gespeicherte Anwendungssitzungen offenlegen.

Eine Kerberos-Übersicht unterscheidet den zwischengespeicherten Anmeldestatus von Diensttickets, die zur Netzwerkauthentifizierung verwendet werden. Durch den Widerruf des NAS-Benutzers lassen sich Klartextdateien, die bereits mit einem nicht verwalteten Client synchronisiert oder auf ihn heruntergeladen wurden, nicht löschen.

Die Deprovisionierung muss daher auch den Endpunkt umfassen: gegebenenfalls eine Fernlöschung, das Entfernen lokaler Synchronisationsdaten, die Bereinigung des Schlüsselbunds, die Wiederbeschaffung des Geräts und die Bestätigung, dass verschlüsselte Offline-Ordner nicht mehr entsperrt werden können.

Berechtigungsänderungen wirken sich möglicherweise nicht auf bereits geöffnete Dateien aus

Anwendungen prüfen den Zugriff häufig beim Öffnen einer Datei, beim Start einer Sitzung oder bei der Erstellung eines Ergebnisses. Eine erneute Prüfung der Gruppenmitgliedschaft bei jedem Lesezugriff auf ein bereits geöffnetes Handle oder eine zwischengespeicherte Antwort findet möglicherweise nicht statt.

Diskussionen im Microsoft-Support weisen darauf hin, dass Änderungen an Gruppen und Tickets nach der Abmeldung oder einer erneuten Verbindung möglicherweise neue Zugriffstoken erfordern, bevor die aktualisierte Mitgliedschaft berücksichtigt wird. Eine ähnliche Zwischenspeicherung kann in Reverse-Proxys, Foto-Apps, Suchindizes und Autorisierungs-Middleware vorhanden sein.

Erzwingen Sie die Abmeldung, trennen Sie Einbindungen, starten Sie betroffene Anwendungssitzungen bei Bedarf neu und machen Sie Autorisierungscaches ungültig, die länger bestehen als der zugrunde liegende Identitätseintrag.

Ein vollständiger Widerruf erfordert einen mehrschichtigen Deprovisionierungstest

Beginnen Sie mit dem Identitätskonto und erfassen Sie anschließend SMB-Sitzungen, Websitzungen, API-Token, Aktualisierungstoken, VPN-Zugriff, App-Passwörter, Synchronisationsclients, freigegebene Links, Geräte-Zertifikate und Verschlüsselungsschlüssel, die dem Benutzer zugeordnet sind.

Sicherheitsforschung zum Widerruf betont, dass ein sofortiger Widerruf schwierig ist, wenn Benutzer bereits über unabhängiges Entschlüsselungsmaterial verfügen. Ein NAS kann Klartext, den ein ehemaliger Benutzer kopiert hat, nicht widerrufen und clientseitig gehaltene Verschlüsselungsschlüssel nicht ohne eine erneute Verschlüsselung geschützter Daten oder eine Änderung der Entschlüsselungsarchitektur ungültig machen.

Die Zugriffsverwaltung im Haushalt von ZimaSpace sollte festlegen, wer Benutzer entfernen, gemeinsam genutzte Anmeldedaten rotieren, Geräte zurückholen und überprüfen darf, dass der Zugriff auf lokale und entfernte Dienste beendet wurde.

Testen Sie mit den tatsächlichen Geräten des widerrufenen Benutzers vor und nach dem Neustart, der erneuten Netzwerkverbindung, dem Ablauf des Tokens und dem Neustart der Synchronisation. Der Widerruf ist erst vollständig, wenn eine neue Anmeldung fehlschlägt, aktive Sitzungen geschlossen sind, zwischengespeicherte Autorisierung nicht mehr funktioniert und vorhandene lokale Kopien gemäß den Richtlinien behandelt wurden.

FAQ

Trennt eine Änderung des NAS-Passworts jede aktive Sitzung?

Nicht immer. Bestehende SMB-, Browser-, API- oder App-Sitzungen können fortbestehen, bis sie geschlossen werden, ablaufen oder vom Dienst ausdrücklich ungültig gemacht werden.

Kann der Widerruf bereits vom Benutzer heruntergeladene Dateien löschen?

Nein. Eine serverseitige Zugriffskontrolle kann unabhängige Klartextkopien nicht löschen, es sei denn, der Endpunkt wird verwaltet und unterstützt die Fernlöschung oder die Daten verbleiben in einer widerrufbaren Verschlüsselung.

Sollten Administratoren die Laufzeit jedes Tokens verkürzen?

Kürzere Laufzeiten verringern das Widerrufsfenster, erhöhen jedoch den Bedarf an Erneuerungen und die Abhängigkeit von der Verfügbarkeit. Bereiche mit hohem Risiko sollten kürzere Berechtigungen verwenden als Sitzungen mit lesendem Zugriff und geringem Risiko.