Что на самом деле включает эта задача
Отзыв старой сессии GitLab выглядит как один клик, но на самом деле это задача проверки с двумя отдельными эффектами. Один эффект ограничен выбранной сессией. Другой выходит за её пределы и завершает токены сохранённого входа везде. Понимание обоих до нажатия помогает не заблокировать себя и не предполагать, что очищено больше, чем было на самом деле.
Это руководство охватывает только список сессий самого владельца. Оно не касается администрирования сервера, команд Rails console или изменений в чужой учётной записи.
Шаг 1: Добраться до списка сессий и прочитать его перед действием
Владелец GitLab может открыть «Edit profile», «Access», «Active sessions» и отозвать ненужную сессию.
Владелец GitLab может открыть «Edit profile», «Access», «Active sessions» и отозвать ненужную сессию. Источник
Прежде чем что-либо отзывать, отнеситесь к списку как к тому, что нужно прочитать, а не просто очистить. Для каждой записи отметьте, что вы действительно видите: описание устройства или браузера, когда сессия была активна в последний раз и узнаёте ли вы её как свою. Сессия, которую вы не узнаёте, — это повод присмотреться внимательнее, а не автоматическое доказательство того, что у кого-то ещё есть ваш пароль. Общие компьютеры, старые телефоны и браузеры, которыми вы больше не пользуетесь, могут создавать записи, выглядящие незнакомыми.
Практичный порядок:
- Определите сессию, которую вы используете прямо сейчас, чтобы знать, какая запись должна остаться.
- Отметьте записи, которые вы не можете объяснить.
- Решите, проблема ли это одной устаревшей сессии или более широкое беспокойство о сохранённых входах.
- Только после этого отзывайте.
Шаг 2: Знать, чего текущая сессия не делает
Текущая активная сессия не отзывается этим действием.
Текущая активная сессия не отзывается этим действием. Источник
Это деталь, которая чаще всего вызывает путаницу. Отзыв старой сессии не выводит вас из браузера, в котором вы работаете. Это удобно, потому что означает, что действие по очистке не прерывает саму проверку. Это также означает, что если ваша цель — завершить сессию, которую вы используете сейчас, отзыв другой записи этого не сделает. Выход из текущей сессии — отдельное действие от отзыва указанной.
Шаг 3: Учесть более широкий эффект сохранённого входа
Отзыв любой сессии также отзывает токены «Remember me» на всех устройствах.
Отзыв любой сессии также отзывает токены «Remember me» на всех устройствах. Источник
Это та часть, которая меняет масштаб задачи. Вы можете намереваться удалить одну старую запись, но эффект на сохранённые входы шире, чем эта отдельная запись. Если другие устройства полагаются на сохранённые входы, ожидайте, что эти сохранённые входы завершатся, и планируйте снова войти на этих устройствах с учётными данными, которые вы всё ещё контролируете.
Этот шаг планирования важен. Перед отзывом убедитесь, что вы всё ещё можете войти способом, который контролируете, например с помощью пароля или другого пути восстановления, уже настроенного в учётной записи. Не удаляйте и не заменяйте свой способ восстановления в рамках этой очистки. Держите его на месте, пока не убедитесь, что учётная запись находится в нужном вам состоянии.
Таблица решений: одна сессия или более широкий сброс сохранённых входов
| Что вы наблюдали | Что делает отзыв | К чему готовиться |
|---|---|---|
| Одна устаревшая сессия, которую вы узнаёте как своё старое устройство | Завершает эту сессию; текущая сессия остаётся активной; токены «Remember me» завершаются на всех устройствах | Снова войти на любом устройстве, которое полагалось на сохранённый вход |
| Сессия, которую вы не можете объяснить | То же, что выше | Отнестись к ней как к поводу проверить безопасность входа, а не как к доказательству взлома |
| Вы хотите завершить сессию, которую используете сейчас | Отзыв указанной сессии этого не делает | Выйти из текущей сессии отдельно |
| Несколько незнакомых записей | Каждый отзыв несёт тот же более широкий эффект сохранённого входа | Решить, нужны ли повторные отзывы, и сохранить путь восстановления нетронутым |
Шаг 4: Честно проверить результат
Список сессий — это место, где можно подтвердить, что изменилось. Проверьте, что запись, на которую вы нацелились, исчезла, а сессия, которую вы используете, всё ещё присутствует. Затем проверьте устройства, которые, как вы ожидали, затронет изменение сохранённого входа, и войдите снова там, где нужно.
Будьте осторожны с тем, что список может и не может вам сказать. Исчезновение записи из списка показывает, что сессия была отозвана. Это само по себе не говорит вам, почему сессия существовала, кто её использовал или изменилось ли что-то ещё в учётной записи. Если вы отозвали сессию, потому что не узнали её, разумное продолжение — проверить безопасность входа, а не предполагать, что вопрос закрыт.
Частые ошибочные пути
- Случайный отзыв сессии, в которой вы работаете. Текущая сессия не отзывается этим действием, так что именно эта ошибка не происходит; но отдельный выход прервёт вашу проверку. Завершите проверку до выхода.
- Предположение, что один отзыв очистил все устройства. Эффект сохранённого входа шире одной сессии, но список сессий всё равно не является полной картиной каждого места, где вы когда-либо входили.
- Слишком раннее удаление способа восстановления. Держите путь восстановления, который вы контролируете, пока не убедитесь, что учётная запись находится в нужном вам состоянии.
- Восприятие незнакомой записи как доказанного вторжения. Это зацепка для дальнейшей проверки, а не вывод.
Полезная следующая задача
Сессии GitLab — это одна учётная запись. Если ваше беспокойство шире, та же дисциплина разделения сессии и человека применима и в других местах. Руководство по проверке устройств учётной записи Google без путаницы сессий с людьми проходит через это различие для другой учётной записи, и это естественное продолжение, когда вы закончите здесь.
Если часть вашего беспокойства связана с тем, к чему публично привязано имя пользователя, поиск по имени пользователя может показать публичные совпадения как зацепки. TraceSeek охватывает 3 000+ платформ, первый скан бесплатен и занимает 20–30 секунд. Публичные совпадения — это зацепки, а не доказательство владения, и поиск по имени пользователя не является полной инвентаризацией учётной записи.