OpenVPN GUI het my Windows-wagwoord gestoor: waar dit geberg word

Die verbindingsdialoog bied 'n merkie om die aanmelding te onthou, en as jy dit merk, beweeg die rekeningbesonderhede uit die gebruiker se kop na die masjien. Die koppelvlak sê nooit waar nie. Op Windows is die kandidate die huidige gebruiker se registrasiearea, 'n profiellêer wat die aanmelding reeds bevat, en wat 'n outomatiseringscript ook al doen. Elke plek het 'n ander leser, 'n ander foutmodus en 'n ander opruiming, so die nuttige vraag is watter proses die geheim kan herwin en hoe lank. Volg die merkie van die dialoog af uitwaarts en besluit dan wat 'n verlore skootrekenaar werklik blootstel.

Begin by die merkie in die verbindingsdialoog

Onthoude waardes word per profiel en per Windows-rekening gehou, in die gebruiker se hysie eerder as in 'n gedeelde masjienstoorkeuring. Daarom sien 'n tweede gebruiker op dieselfde rekenaar geen gestoorde aanmelding nie, en daarom verwyder die herinstallasie van die kliënt nie noodwendig die gestoorde inskrywing nie.

Die profiellêer self hou die bediener, poort en instellings maar geen geheim nie, en daarom ondersoek mense eers die verkeerde artefak. Om die profiel te skrap verwyder dus die verbinding en laat die geloofsbrief agter. Dit is die algemeenste verrassing tydens opruiming. Verwyder albei artefakte, nie een nie.

Wat die registrasiewaarde onthul

Die rekeningnaam staan in leesbare teks, so enigiets wat as daardie gebruiker loop, kan dit sonder enige spesiale oproep dekodeer. Die wagwoord is anders: dit word met Windows DPAPI verseël, aan die rekening gebind en, afhangend van die vlae, aan die spesifieke masjien. Om die verseëlde klont na 'n ander rekenaar te lig en weer te speel, lewer dus nie 'n bruikbare geheim nie.

Om die waardes te lys beantwoord die operasionele vraag sonder om die geheim self aan te raak. Niks hoef gedekodeer te word om te bevestig dat 'n inskrywing bestaan nie. Die lys dien ook as 'n voor-en-na-rekord vir opruiming.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Twee grense verdien om reguit genoem te word. 'n Proses binne dieselfde aangemelde sessie kan dieselfde ontsluitingsroetine roep wat die kliënt gebruik, so verseëling is beskerming in rus eerder as teen 'n gekompromiteerde lessenaar. En sonder volle skyfversleuteling is die verseëlde waarde net so privaat soos die skyf.

Wanneer die profiellêer reeds die aanmelding bevat

Sommige portale gee 'n konfigurasie uit waarin die rekeningnaam en wagwoord ingeskryf is, so die kliënt verbind stilweg. Op daardie punt is die lêer 'n werkende geloofsbrief, en elke kopie daarvan is nog 'n sleutel na dieselfde deur.

Sulke lêers beland in rugsteune, kletsdrade en gesinkroniseerde vouers, en nie een van daardie kopieë hou op werk wanneer die oorspronklike geskrap word nie. Om die plaaslike lêer te wysig, verander niks aan die ander nie. Om toegang te herroep beteken om die wagwoord op die bediener te verander, en dit dadelik te doen. Opruiming op een skootrekenaar is 'n aparte, kleiner taak.

Waar 'n vraag om geloofsbriewe aanvaarbaar is, verkies dit en gebruik die kliënt se kasbeheer. As 'n vooraf-ingevulde profiel werklik nodig is, hou dit uit sinchroniseervouers en verwyder dit wanneer die werk klaar is.

Outomatisering skuif die geheim elders heen

Scripts bring twee kanale by: prosesargumente en sintetiese toetsaanslae. 'n Lêer wat op 'n opdraglyn genoem word, is sigbaar vir alles wat prosesargumente of die lêer se regte kan lees, en 'n wagwoord wat deur 'n hulpmiddel getik word, gaan na watter venster ook al tans fokus het. Een gepubliseerde voorbeeld tik die lessenaarwagwoord op daardie manier voordat die kliënt begin. 'n Gestoorde eenmalige-wagwoord-saad verdien dieselfde sorg, want dit kan elke toekomstige kode genereer en oorleef 'n enkele aanmelding.

Die beter patroon stoor die geheim waar net die diensrekening dit kan lees, maak staat op die kliënt se gedokumenteerde herprobeer- en geloofsbriefbron-opsies, en vermy ingespote tik vir voorregvrae. As die script die lessenaarwagwoord vir verhoging nodig het, is dit 'n voorregontwerp-vraag eerder as 'n VPN-een.

Opruiming na 'n verlore toestel

Herroep of deaktiveer die rekening op die bediener voor enigiets anders, want plaaslike skrapping kan nie 'n kopie wat iemand reeds het, ongeldig maak nie. Maak dan die onthoude registrasiewaardes skoon, verwyder die profiel en enige geloofsbrieflêers, en deursoek dopgeskiedenis en scriptgidse vir geplakte wagwoorde.

Skryf neer wat verwyder is en wanneer toegang geëindig het. Daardie paar beantwoord die enigste vraag wat 'n insidentoorsig vra: of enige kopie van die geloofsbrief nog gewerk het nadat die toestel weg is.