Cosa succede quando un utente revocato conserva le credenziali NAS memorizzate nella cache?

Un utente revocato può continuare ad accedere al NAS quando sessioni esistenti, ticket, token, montaggi o copie locali rimangono validi dopo il blocco di nuove autenticazioni.

La rimozione di un account o dell’appartenenza a un gruppo modifica le decisioni future del sistema di identità, ma non annulla automaticamente ogni credenziale già rilasciata a laptop, telefoni, client di sincronizzazione, browser, connessioni SMB, app WebDAV e servizi di accesso remoto. Alcune credenziali scadono naturalmente, altre richiedono una revoca esplicita e altre ancora autorizzano una sessione che non contatta più il provider di identità per ogni richiesta. Le sezioni seguenti distinguono la revoca dell’account dalla terminazione della sessione, spiegano cosa continua a funzionare e mostrano come verificare che l’accesso domestico sia stato effettivamente interrotto.

La revoca dell’account di solito blocca prima il rilascio di nuove credenziali

La disabilitazione di un utente indica al provider di identità di rifiutare i futuri accessi o le richieste di token. Tuttavia, non informa necessariamente ogni servizio NAS e client che si è già autenticato.

I sistemi Kerberos illustrano bene questa lacuna: un account disabilitato può vedersi rifiutare nuovi ticket, mentre i ticket di servizio esistenti possono rimanere utilizzabili fino alla scadenza, a meno che il servizio non esegua un ulteriore controllo dello stato dell’account. Il comportamento esatto dipende dal protocollo, dalla configurazione del servizio e dalla durata del ticket.

Questo crea una finestra di revoca anziché un blocco universale immediato. Il record dell’identità cambia subito, mentre le credenziali rilasciate scompaiono secondo la propria scadenza.

Le sessioni SMB e applicative attive possono durare più a lungo della modifica dell’account

Un client potrebbe avere già una connessione TCP autenticata, una condivisione montata, una sessione del browser o un cookie applicativo. Le richieste all’interno di quella sessione potrebbero non ripetere la decisione completa di accesso.

Microsoft spiega che i ticket Kerberos memorizzati nella cache possono essere riutilizzati fino alla scadenza. Un servizio NAS può inoltre mantenere aperti gli handle dei file e lo stato della sessione fino alla chiusura della connessione, alla scadenza del ticket o alla terminazione della sessione da parte di un amministratore.

La modifica di una password può bloccare la successiva autenticazione mentre la condivisione attualmente montata continua a consentire operazioni di lettura o scrittura tramite una sessione esistente.

Per un’immediata disattivazione dell’accesso è quindi necessario enumerare e terminare le sessioni, non solo modificare la directory.

I token di accesso e i token di aggiornamento hanno comportamenti diversi in caso di revoca

Le app NAS per il Web e i dispositivi mobili possono utilizzare token di accesso di breve durata insieme a token di aggiornamento con validità più lunga. La rimozione del percorso di aggiornamento impedisce i rinnovi futuri, ma può lasciare valido il token di accesso corrente fino alla sua scadenza.

Auth0 osserva che alcuni token di accesso emessi non possono essere revocati singolarmente; pertanto, il controllo pratico consiste nell’utilizzare una durata breve insieme alla revoca delle credenziali di aggiornamento. Le applicazioni NAS con gestione dello stato possono invece mantenere una lista di revoca o un archivio delle sessioni e rifiutare immediatamente il token.

La progettazione più sicura adatta la durata delle credenziali al rischio. I token di amministrazione e quelli con accesso remoto in scrittura non dovrebbero rimanere validi per giorni solo per ridurre le richieste di accesso.

-15% OFF

ZimaBoard 2 - Mini server domestico per la tua grande idea

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

Le cache delle credenziali offline possono ancora sbloccare il dispositivo client

Le credenziali di accesso memorizzate nella cache possono consentire a un laptop di accedere anche quando è disconnesso dalla directory. Ciò non garantisce necessariamente un nuovo accesso alla rete, ma può esporre file sincronizzati, password memorizzate, chiavi delle unità montate e sessioni applicative archiviate localmente.

Una panoramica di Kerberos distingue lo stato di accesso memorizzato nella cache dai ticket di servizio utilizzati per l’autenticazione di rete. La revoca dell’utente NAS non può cancellare i file in chiaro già sincronizzati o scaricati su un client non gestito.

La disattivazione deve quindi includere l’endpoint: cancellazione remota ove supportata, rimozione dei dati locali sincronizzati, pulizia del portachiavi, recupero del dispositivo e conferma che le cartelle offline crittografate non possano più essere sbloccate.

Le modifiche alle autorizzazioni potrebbero non interessare i file già aperti

Le applicazioni spesso verificano l’accesso quando un file viene aperto, quando inizia una sessione o quando viene generato un risultato. Potrebbero non rivalutare l’appartenenza ai gruppi a ogni lettura da un handle già aperto o da una risposta memorizzata nella cache.

Le discussioni del supporto Microsoft osservano che le modifiche ai gruppi e ai ticket possono richiedere nuovi token di accesso dopo la disconnessione o la riconnessione, prima che l’appartenenza aggiornata venga riflessa. Un caching simile può esistere nei proxy inversi, nelle app per le foto, negli indici di ricerca e nei middleware di autorizzazione.

Forza la disconnessione, scollega i montaggi, riavvia le sessioni delle app interessate quando necessario e invalida le cache delle autorizzazioni che rimangono attive più a lungo del record dell’identità di origine.

Una revoca completa richiede un test di disattivazione su più livelli

Inizia dall’account dell’identità, quindi enumera le sessioni SMB, le sessioni Web, i token API, i token di aggiornamento, gli accessi VPN, le password delle app, i client di sincronizzazione, i link condivisi, i certificati dei dispositivi e le chiavi di crittografia associate all’utente.

La ricerca sulla sicurezza relativa alla revoca sottolinea che la revoca immediata è difficile quando gli utenti possiedono già materiale di decrittografia indipendente. Un NAS non può revocare il testo in chiaro copiato da un ex utente e non può invalidare le chiavi di crittografia conservate sul client senza ricrittografare i dati protetti o modificare l’architettura di decrittografia.

La governance degli accessi domestici di ZimaSpace dovrebbe definire chi può rimuovere gli utenti, ruotare le credenziali condivise, recuperare i dispositivi e verificare che l’accesso sia terminato su tutti i servizi locali e remoti.

Esegui il test dai dispositivi effettivamente utilizzati dall’utente revocato, prima e dopo il riavvio, la riconnessione alla rete, la scadenza del token e il riavvio della sincronizzazione. La revoca è completa solo quando il nuovo accesso non riesce, le sessioni attive sono chiuse, l’autorizzazione memorizzata nella cache non funziona più e le copie locali conservate vengono gestite secondo le policy.

Domande frequenti

La modifica della password del NAS disconnette ogni sessione attiva?

Non sempre. Le sessioni SMB, del browser, API o delle app già esistenti possono continuare fino alla chiusura, alla scadenza o all’invalidazione esplicita da parte del servizio.

La revoca può eliminare i file già scaricati dall’utente?

No. Il controllo degli accessi lato server non può cancellare copie indipendenti in chiaro, a meno che l’endpoint sia gestito e supporti la cancellazione remota o che i dati rimangano protetti da una crittografia revocabile.

Gli amministratori dovrebbero ridurre la durata di ogni token?

Durate più brevi riducono la finestra di revoca, ma aumentano le dipendenze da rinnovi e disponibilità. Gli ambiti ad alto rischio dovrebbero utilizzare credenziali con durata inferiore rispetto alle sessioni di sola lettura a basso rischio.