حفظ OpenVPN GUI كلمة مرور Windows الخاصة بي: أين تُخزَّن

يعرض مربع حوار الاتصال خانة اختيار لتذكّر بيانات الدخول، وعند تحديدها تنتقل تفاصيل الحساب من ذاكرة المستخدم إلى الجهاز. لا تذكر الواجهة أبدًا أين تُحفظ. على Windows، الاحتمالات هي منطقة السجل الخاصة بالمستخدم الحالي، أو ملف تعريف يحمل بيانات الدخول مسبقًا، أو ما يفعله أي نص برمجي للتشغيل الآلي. لكل موقع قارئ مختلف ونمط فشل مختلف وتنظيف مختلف، لذا فالسؤال المفيد هو أي عملية تستطيع استعادة السر ولأي مدة. اتبع خانة الاختيار من مربع الحوار إلى الخارج، ثم قرر ما الذي يكشفه فعليًا حاسوب محمول مفقود.

ابدأ من خانة الاختيار في مربع حوار الاتصال

تُحفظ القيم المتذكَّرة لكل ملف تعريف ولكل حساب Windows، في خلية المستخدم بدلًا من مخزن مشترك على مستوى الجهاز. لذلك لا يرى مستخدم ثانٍ على الحاسوب نفسه أي بيانات دخول محفوظة، ولهذا لا تؤدي إعادة تثبيت العميل بالضرورة إلى مسح الإدخال المخزَّن.

يحتفظ ملف التعريف نفسه بالخادم والمنفذ والإعدادات لكنه لا يحتفظ بأي سر، ولهذا يفحص الناس القطعة الخاطئة أولًا. لذا فإن حذف ملف التعريف يزيل الاتصال ويترك بيانات الاعتماد في مكانها. هذه هي المفاجأة الأكثر شيوعًا أثناء التنظيف. أزل القطعتين معًا، لا واحدة منهما.

ما تكشفه قيمة السجل

يظهر اسم الحساب كنص مقروء، لذا يستطيع أي شيء يعمل بصلاحيات ذلك المستخدم فك ترميزه دون أي استدعاء خاص. أما كلمة المرور فمختلفة: فهي مختومة بـ Windows DPAPI، ومرتبطة بالحساب، وبحسب الأعلام، بالجهاز المحدد. لذلك فإن رفع الكتلة المختومة إلى حاسوب آخر وإعادة تشغيلها لا ينتج سرًا صالحًا للاستخدام.

الإجابة عن السؤال التشغيلي تأتي من سرد القيم دون لمس السر نفسه. لا حاجة إلى فك تشفير أي شيء للتأكد من وجود إدخال. ويعمل السرد أيضًا كسجل قبل وبعد للتنظيف.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

هناك حدّان يستحقان التصريح بهما بوضوح. يمكن لعملية داخل جلسة الدخول نفسها استدعاء روتين إلغاء الحماية نفسه الذي يستخدمه العميل، لذا فالعزل حماية أثناء السكون لا حماية ضد سطح مكتب مخترق. وبدون تشفير القرص بالكامل، تكون القيمة المختومة خاصة بقدر ما يكون القرص خاصًا.

عندما يحتوي ملف التعريف على بيانات الدخول مسبقًا

تسلّم بعض البوابات إعدادًا مكتوبًا فيه اسم الحساب وكلمة المرور، فيتصل العميل بصمت. عند هذه النقطة يصبح الملف بيانات اعتماد عاملة، وكل نسخة منه مفتاح آخر للباب نفسه.

تنتهي هذه الملفات في النسخ الاحتياطية وسلاسل المحادثات والمجلدات المتزامنة، ولا تتوقف أي من تلك النسخ عن العمل عند حذف الأصل. وتعديل الملف المحلي لا يغيّر شيئًا في الملفات الأخرى. سحب الوصول يعني تغيير كلمة المرور على الخادم، والقيام بذلك فورًا. أما التنظيف على حاسوب محمول واحد فهو مهمة منفصلة أصغر.

حيث يكون طلب الإدخال مقبولًا، فضّله واستخدم عناصر التحكم في التخزين المؤقت للعميل. وإذا كان ملف تعريف معبأ مسبقًا مطلوبًا فعلًا، فأبقِه خارج مجلدات المزامنة وأزله عند انتهاء المهمة.

التشغيل الآلي ينقل السر إلى مكان آخر

تدخل النصوص البرمجية قناتين إضافيتين: وسائط العملية وضغطات المفاتيح الاصطناعية. الملف المذكور في سطر أوامر يكون مرئيًا لأي شيء يستطيع قراءة وسائط العملية أو أذونات الملف، وكلمة المرور التي تكتبها أداة تذهب إلى النافذة التي تملك التركيز حاليًا. ثمة مثال منشور يكتب كلمة مرور سطح المكتب بهذه الطريقة قبل تشغيل العميل. وبذرة كلمة المرور لمرة واحدة المخزَّنة تستحق العناية نفسها، لأنها تستطيع توليد كل رمز مستقبلي وتعيش أطول من عملية دخول واحدة.

النمط الأفضل يخزّن السر حيث لا يستطيع قراءته إلا حساب الخدمة، ويعتمد على خيارات إعادة المحاولة ومصدر بيانات الاعتماد الموثقة في العميل، ويتجنب الحقن بالكتابة في مطالبات الصلاحيات. وإذا احتاج النص البرمجي كلمة مرور سطح المكتب للترقية، فذلك سؤال تصميم صلاحيات لا سؤال VPN.

التنظيف بعد فقدان جهاز

اسحب الحساب أو عطّله على الخادم قبل أي شيء آخر، لأن الحذف المحلي لا يمكنه إبطال نسخة يملكها أحدهم بالفعل. ثم امسح قيم السجل المتذكَّرة، وأزل ملف التعريف وأي ملفات بيانات اعتماد، وابحث في سجل الصدفة ومجلدات النصوص البرمجية عن كلمات مرور ملصوقة.

دوّن ما أُزيل ومتى انتهى الوصول. هذا الزوج يجيب عن السؤال الوحيد الذي تطرحه مراجعة الحادث: هل كانت أي نسخة من بيانات الاعتماد ما تزال تعمل بعد مغادرة الجهاز.