O que acontece quando um utilizador revogado mantém as credenciais da NAS em cache?
Um utilizador revogado pode manter o acesso ao NAS quando as sessões, autorizações, tokens, montagens ou cópias locais existentes continuam válidos depois de o bloqueio de novas autenticações.
Remover uma conta ou a pertença a um grupo altera as decisões futuras do sistema de identidades, mas não faz automaticamente recuar todas as credenciais já emitidas para portáteis, telemóveis, clientes de sincronização, navegadores, ligações SMB, aplicações WebDAV e serviços de acesso remoto. Algumas credenciais expiram naturalmente, outras requerem revogação explícita e algumas autorizam uma sessão que já não contacta o fornecedor de identidade em cada pedido. As secções abaixo distinguem a revogação da conta do encerramento da sessão, explicam o que continua a funcionar e mostram como verificar se o acesso doméstico terminou efetivamente.
A Revogação da Conta Normalmente Impede Primeiro a Emissão de Novas Credenciais
Desativar um utilizador indica ao fornecedor de identidade que deve rejeitar futuros inícios de sessão ou pedidos de tokens. No entanto, isso não significa necessariamente que todos os serviços NAS e clientes que já foram autenticados sejam notificados.
Os sistemas Kerberos ilustram esta diferença: uma conta desativada pode ter novos tickets recusados, enquanto os tickets de serviço existentes continuam utilizáveis até expirarem, a menos que o serviço faça uma verificação adicional do estado da conta. O comportamento exato depende do protocolo, da configuração do serviço e da duração do ticket.
Isto cria uma janela de revogação, em vez de um bloqueio universal imediato. O registo de identidade é alterado agora, enquanto as credenciais emitidas desaparecem segundo o seu próprio calendário.
As Sessões SMB e de Aplicações Ativas Podem Sobreviver à Alteração da Conta
Um cliente pode já ter uma ligação TCP autenticada, uma partilha montada, uma sessão do navegador ou um cookie de aplicação. Os pedidos dentro dessa sessão podem não repetir a decisão completa de início de sessão.
A Microsoft explica que os tickets Kerberos em cache podem ser reutilizados até expirarem. Um serviço NAS também pode preservar identificadores de ficheiros abertos e o estado da sessão até a ligação ser encerrada, o ticket expirar ou um administrador terminar a sessão.
A alteração de uma palavra-passe pode impedir a autenticação seguinte, enquanto a partilha atualmente montada continua a permitir leituras ou escritas através de uma sessão existente.
Por isso, a desativação imediata requer a enumeração e o encerramento das sessões, não apenas alterações no diretório.
Os Tokens de Acesso e os Tokens de Atualização Têm Comportamentos de Revogação Diferentes
As aplicações NAS para a Web e dispositivos móveis podem utilizar tokens de acesso de curta duração e tokens de atualização de duração mais longa. Remover o mecanismo de atualização impede futuras renovações, mas pode deixar o token de acesso atual válido até expirar.
A Auth0 observa que alguns tokens de acesso emitidos não podem ser revogados individualmente; por isso, o controlo prático consiste numa duração curta combinada com a revogação das credenciais de atualização. As aplicações NAS com gestão de estado podem, em alternativa, manter uma lista de bloqueio ou um armazenamento de sessões e rejeitar imediatamente o token.
O design mais seguro ajusta a duração das credenciais ao risco. Os tokens de administrador e de escrita remota não devem permanecer válidos durante dias apenas para reduzir os pedidos de início de sessão.
As Caches de Credenciais Offline Podem Continuar a Desbloquear o Dispositivo Cliente
As credenciais de início de sessão em cache podem permitir que um portátil inicie sessão enquanto está desligado do diretório. Isto não concede necessariamente novo acesso à rede, mas pode expor ficheiros sincronizados, palavras-passe guardadas, chaves de unidades montadas e sessões de aplicações armazenadas localmente.
Uma visão geral do Kerberos distingue o estado de início de sessão em cache dos tickets de serviço utilizados para a autenticação na rede. Revogar o utilizador do NAS não pode apagar ficheiros de texto simples já sincronizados ou transferidos para um cliente não gerido.
Por isso, o processo de saída deve incluir o endpoint: limpeza remota quando suportada, remoção dos dados locais de sincronização, limpeza do porta-chaves, recuperação do dispositivo e confirmação de que as pastas offline encriptadas já não podem ser desbloqueadas.
As Alterações de Permissões Podem Não Afetar Ficheiros Já Abertos
As aplicações verificam frequentemente o acesso quando um ficheiro é aberto, uma sessão é iniciada ou um resultado é gerado. Podem não reavaliar a pertença a grupos em cada leitura de um identificador já aberto ou de uma resposta em cache.
Debates no suporte da Microsoft referem que as alterações de grupos e tickets podem exigir novos tokens de acesso depois de terminar a sessão ou restabelecer a ligação, antes de a pertença atualizada ser refletida. Pode existir um armazenamento em cache semelhante em proxies inversos, aplicações de fotografias, índices de pesquisa e middleware de autorização.
Force o encerramento da sessão, desligue as montagens, reinicie as sessões das aplicações afetadas quando necessário e invalide as caches de autorização que sobrevivam ao registo de identidade de origem.
A Revogação Completa Requer um Teste de Saída em Várias Camadas
Comece pela conta de identidade e, em seguida, enumere as sessões SMB, sessões Web, tokens de API, tokens de atualização, acesso VPN, palavras-passe de aplicações, clientes de sincronização, ligações partilhadas, certificados de dispositivos e chaves de encriptação associados ao utilizador.
A investigação de segurança sobre revogação salienta que a revogação imediata é difícil quando os utilizadores já possuem material de desencriptação independente. Um NAS não pode revogar texto simples que um antigo utilizador copiou, nem pode invalidar chaves de encriptação mantidas pelo cliente sem voltar a encriptar os dados protegidos ou alterar a arquitetura de desencriptação.
A governação do acesso doméstico da ZimaSpace deve definir quem pode remover utilizadores, alterar credenciais partilhadas, recuperar dispositivos e verificar se o acesso terminou em todos os serviços locais e remotos.
Teste a partir dos dispositivos reais do utilizador revogado antes e depois de reiniciar, restabelecer a ligação à rede, deixar os tokens expirarem e reiniciar a sincronização. A revogação só está completa quando o novo início de sessão falha, as sessões ativas são encerradas, a autorização em cache deixa de funcionar e as cópias locais retidas são tratadas de acordo com a política.
FAQ
A alteração da palavra-passe do NAS desliga todas as sessões ativas?
Nem sempre. As sessões SMB, do navegador, da API ou das aplicações podem continuar até serem encerradas, expirarem ou serem explicitamente invalidadas pelo serviço.
A revogação pode apagar ficheiros já transferidos pelo utilizador?
Não. O controlo de acesso do servidor não pode apagar cópias independentes em texto simples, a menos que o endpoint seja gerido e suporte eliminação remota ou que os dados permaneçam protegidos por encriptação revogável.
Os administradores devem reduzir a duração de todos os tokens?
Durações mais curtas reduzem a janela de revogação, mas aumentam as dependências de renovação e disponibilidade. Os âmbitos de alto risco devem utilizar credenciais de duração mais curta do que as sessões de leitura de baixo risco.
Produtos recomendados
Centro de Tecnologia e IA
Mais para Ler
Estado em tempo de execução vs. estado persistente no Home Assistant: o que tem de sobreviver ao reinício?
O Home Assistant não persiste todos os valores em tempo real; a configuração, os registos, os estados restaurados selecionados, o histórico e os dados...
Como é que o Home Assistant autentica sessões locais e remotas?
As sessões locais e remotas do Home Assistant utilizam o mesmo modelo de identidade do lado do servidor; o acesso remoto altera a rota...
Porque é que as consultas ao histórico do Home Assistant podem ficar mais lentas à medida que os dados do Recorder aumentam?
O crescimento do gravador pode aumentar o custo das consultas do Histórico quando o intervalo solicitado abrange mais linhas, as falhas de cache aumentam...
