auth-nocache met ’n aanmeldlêer: help dit of skaad dit?

OpenVPN druk by die opstart ’n waarskuwing uit wat voorstel om auth-nocache en die verleidelike reaksie is om die opsie by te voeg en te kyk hoe die reël verdwyn. Daardie advies veronderstel ’n interaktiewe aanmelding. Sodra die gebruikersnaam en wagwoord in ’n lêer woon, verander die vergelyking: die opsie hou op om die duursame kopie te beskerm, en op ’n kliënt wat van voorregte afstand doen, kan dit later heronderhandeling breek. Twee stoor-modelle is die moeite werd om uitmekaar te hou voordat jy ’n profiel wysig.

Twee maniere om die aanmeldvraag te antwoord

Die eerste model is ’n mens wat aanmeldgegewens in ’n terminaal intik, of ’n bestuurskoppelvlak wat dit vir die sessie hou. OpenVPN hou daardie kopie sodat dit die volgende heronderhandeling kan antwoord sonder om weer te vra, en dit is presies waaroor die waarskuwing gaan. Niks op skyf is betrokke nie, so die enigste ding om te beskerm is die proses wat die waarde hou. Sluit die kliënt en die kopie is daarmee weg.

Die tweede model is auth-user-pass wat na ’n lêer wys, waar die lêer die stoorplek is en die kliënt dit lees wanneer ’n waarde nodig is. Die blootstelling wat hier saak maak, is nie prosesgeheue nie, maar die toestemmings en eienaarskap van daardie lêer. Die opstartwaarskuwing kom van die richtlyne in die konfigurasie, nie van ’n ondersoek na hoe jy die wagwoord verskaf nie, so dit verskyn in beide modelle en wys na nie een nie.

Die res van hierdie vergelyking volg uit daardie skeiding: geheuehantering vir een model, lêerhantering en prosesidentiteit vir die ander.

Wat auth-nocache werklik weggooi

Met ’n interaktiewe aanmelding --auth-nocache verwyder die gestoorde kopie uit die geheue nadat dit gebruik is. Die koste is ’n nuwe vraag by elke heronderhandelingsinterval, want die volgende ronde kan nie hergebruik wat weggegooi is nie.

Met ’n lêergebaseerde aanmelding kan die kliënt die lêer weer lees, so die weggooi is meestal onsigbaar. Dit word sigbaar op die een plek waar mense dit nie verwag nie: nadat die daemon van voorregte afstand gedoen het, as die aanmeldlêer nie leesbaar is vir die rekening waaronder dit nou loop nie.

Voeg die opsie by omdat jy daardie ruil verstaan, nie omdat ’n waarskuwing verskyn het nie. ’n Opsie wat bygevoeg is om ’n log stiller te maak, is ’n opsie wie se effek niemand gemeet het nie.

Waar die lêergebaseerde pad breek

’n Kliënt wat as root begin om die tonneltoestel oop te maak en dan oorskakel na user en group lees die aanmeldlêer twee keer: een keer voor die oorskakeling, een keer by die heronderhandeling wat volg. As die lêer modus 600 is en deur root besit word, misluk die tweede lees, en die mislukking verskyn ’n uur later as ’n verifikasiemelding wat soos ’n bedienerprobleem lyk. Kyk in die kliëntlog rondom die heronderhandelingsinterval en kyk dan na die rekening en die lêer saam.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Beide reëls maak saak. Die eerste sê vir jou wie die lêer kan lees, die tweede sê wie die lopende daemon werklik is, en ’n wanverhouding tussen hulle verduidelik ’n mislukking wat geen hoeveelheid hertik van die wagwoord sal regmaak nie.

Die praktiese regstellings is onglamoureus: skuif die lêer na ’n gids en ’n eienaar wat die daemon se rekening kan lees, of hou die bevoorregte lees en bevestig dat jou kliënt net een keer lees. Moenie dit oplos deur die lêer vir almal leesbaar te maak nie.

Die geval wat die opsie wel wil hê

’n Aanmelding met ’n eenmalige kode wil auth-nocache hê om ’n ander rede. ’n Eenmalige kode word deur die eerste verifikasie uitgeput, so ’n gekaste kopie is nutteloos by die volgende heronderhandeling en ’n verouderde waarde kan selfs weer gespeel word.

Dit is ’n vraag oor die tipe aanmeldgegewens, nie oor waar dit gestoor word nie. ’n Statiese wagwoord in ’n beskermde lêer het die teenoorgestelde profiel: dit moet by elke heronderhandeling leesbaar wees, en die beskerming wat jy nodig het, is op die lêer.

Hou daardie twee redes apart in die profielkommentaar, want die volgende administrateur sal anders aanvaar die opsie is daar vir die rede wat hy sou gekies het.

Die vergelyking in een besluit

Kies die interaktiewe model wanneer ’n persoon teenwoordig is en varsheid saak maak, en aanvaar die herhaalde vraag as die koste daarvan. Kies die lêermodel wanneer die kliënt onbewaak loop, en spandeer die moeite eerder op eienaarskap, modus en die voorregverlaging.

Nie een model maak ’n gestoorde wagwoord op sigself veilig nie, en nie een maak die opstartwaarskuwing betekenisvol nie.

As die waarskuwing die enigste rede is waarom jy die profiel oopgemaak het, teken die besluit aan eerder as ’n onverklaarde opsie: aanmeldgegewens kom uit ’n lêer wat die daemon se rekening kan lees, ’n heronderhandeling is gesien slaag, en die OpenVPN 2.6-handleiding se afdeling oor heronderhandeling is gelees voordat die interval verander is. Daardie nota oorleef enige enkele vlag.