OpenVPN auth-nocache: wat gebeur by die volgende aanmelding

Skakel auth-nocache aan en die waarskuwing oor die kas van wagwoorde verdwyn, saam met die kopie van die geloofsbriewe wat OpenVPN vir die volgende heronderhandeling gehou het. Of dit in ’n versoek, ’n stille herprobeerslag of ’n onderbroke tonnel ontaard, hang daarvan af waar die geloofsbriewe die tweede keer vandaan kom. Dit maak dit ’n vergelyking tussen ontplooiingsvorme eerder as ’n uitspraak oor die opsie. Lees die vorm wat jy werklik bedryf voordat jy enige profiel wysig.

Waar die tweede stel geloofsbriewe vandaan moet kom

OpenVPN pas auth-nocache toe op die geheime wat deur auth-user-pass en askpass ingesamel word: sodra hulle gebruik is, laat die proses hulle val in plaas daarvan om hulle vir die volgende handskud te hou. ’n Heronderhandeling kom op ’n tydhouer, standaard een keer per uur, so die tweede versoek kom lank nadat die persoon wat die wagwoord getik het, al aanbeweeg het. Daardie gaping is die hele storie. Met die kas aan bly, speel die kliënt die gestoorde kopie oor sonder om iemand te vra; met die kas af, moet dit die geheim êrens anders vind of misluk.

Maak dus ’n lys van elke plek waar die geheim op daardie oomblik vandaan kan kom, en wees eerlik oor watter daarvan op die gasheer bestaan. ’n Persoon by ’n terminaal, ’n lêer wat auth-user-pass of askpass kan lees, of ’n sessietoken wat deur die bediener uitgereik is, is die drie wat hier saak maak. As nie een van hulle beskikbaar is nie, misluk die heronderhandeling ’n uur ná die verandering eerder as op die oomblik toe jy dit gemaak het.

Drie vorms, drie foutpunte

’n Tafelbladkliënt met ’n persoon voor hom is die ligte geval: die versoek kom terug, iemand tik weer die wagwoord, en die koste is aandag. ’n Diens, houer of roeteerder wat OpenVPN sonder ’n terminaal bedryf, is die strawwe geval, want niemand is daar om te antwoord nie en die herverbinding wat vroeër stil was, beëindig nou die tonnel. ’n Hibried sit tussen die twee, en tree soos die tafelbladgeval op totdat die sessie wat die versoek kon antwoord, verdwyn. Wat hulle skei, is nie of ’n GUI geïnstalleer is nie, maar of daar op die oomblik van heronderhandeling ’n bron van geloofsbriewe bestaan.

Karteer jou ontplooiing op een van daardie drie voordat jy enigiets verander, want die advies wat jy aanlyn vind, is amper altyd vir die eerste geskryf. Om die tafelbladantwoord op ’n koplose diens toe te pas, is hoe ’n tonnel wat maande lank gewerk het, elke uur begin val.

Riglyn of vlag: kies een en weet watter een jy gebruik het

Binne ’n profiel is auth-nocache ’n reël op sy eie; by ’n aanroep wat ’n profiel eksplisiet noem, is dit ’n vlag op daardie opdragreël, en die OpenVPN-handleiding lys albei vorms. Albei doen dieselfde aan die behoud van geloofsbriewe, en nie een raak die koppelvlaktipe aan of herstel ’n onverwante waarskuwing in dieselfde log nie. Die verskil is volharding: die vlag dek net daardie lopie, so ’n diens wat uit ’n unit-lêer of ’n omhulskrip herbegin word, sal dit nie hê nie tensy die omhulsel dit ook deurgee.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Besluit watter artefak die instelling besit, verander dit daar en nêrens anders nie. ’n Profiel wat op ’n skootrekenaar gewysig is, plus ’n systemd-unit wat dit met ’n vlag oorskryf, is die kombinasie wat teenstrydige gedrag ná ’n herbegin lewer.

’n Geloofsbrief-lêer verskuif die geheim in plaas daarvan om dit te skrap

Om auth-user-pass na ’n lêer te wys, gee elke latere heronderhandeling ’n bron, en dit plaas ook die wagwoord êrens wat herstarts oorleef. Vra wie daardie lêer kan lees, of die daemon dit nog kan lees nadat dit voorregte laat vaar het, en wat gebeur wanneer die lêerstelsel net-lees gemonteer is of ’n houeraansig die pad versteek. ’n Geheim op skyf en ’n geheim in die geheue is verskillende probleme, en om die een op te los, laat die ander in plek. Rotasie is die stap wat oorgeslaan word: ’n wagwoord wat op die bediener verander is maar nie in die lêer nie, lewer ’n fout wat soos ’n netwerkfout lyk.

Hou die lêer in besit van die rekening wat die daemon bedryf, leesbaar deur niemand anders nie, en buite rugsteunings wat die gasheer verlaat. OpenVPN se bedienerkant-opsie auth-gen-token gee die kliënt ’n sessietoken ná ’n suksesvolle aanmelding, wat ’n kleiner ding is om rond te laat lê as die rekeningwagwoord. Skryf die rotasiestap langs die lêer, want die lêer oorleef gewoonlik die persoon wat dit geskep het.

Om heronderhandeling te rek verskuif die koste, dit verwyder dit nie

Die ander voorstel is om reneg-sec te verhoog totdat die versoek skaars genoeg is om te ignoreer. Dit herskryf die sessie se sleutelrotasie-skedule en skuif dieselfde geloofsbriefprobleem na ’n later, minder voorspelbare oomblik; dit skep nie ’n bron van geloofsbriewe nie. ’n Beleid wat sleutels volgens ’n skedule vernuwe vir ’n rede, moet nie verslap word net om die tik van ’n wagwoord te vermy nie.

Toets die herverbinding eerder as die sessie waarin jy sit, want die lewendige sessie bewys niks. Laat die tonnel van die bedienerkant af val, of herbegin die kliëntdiens, en kyk wat die volgende heronderhandeling doen met niemand by die sleutelbord nie. As dit weer verbind, noem die meganisme wat die geheim voorsien het; as dit nie doen nie, het jy die werklike koste van die opsie op hierdie gasheer gevind. Enige uitkoms gee jou ’n antwoord wat tydens ’n onderbreking geld in plaas van een wat tydens toetsing gegeld het.

Op ’n bestuurde vloot moet enigeen wat die ontplooiing besit, drie dinge kan noem: waar die geloofsbrief vandaan kom, waar dit gestoor word, en wie dit roteer. As enige van daardie antwoorde die persoon is wat die gasheer opgestel het, is die opsie nog nie daar veilig nie.