OpenVPN GUI запомніў мой пароль Windows: дзе ён захоўваецца

Дыялог падключэння прапануе сцяжок, каб запомніць лагін, і пасля яго ўсталявання даныя ўліковага запісу пераходзяць з галавы карыстальніка ў машыну. Інтэрфейс ніколі не паказвае, дзе менавіта. У Windows кандыдаты — гэта рэестравы абшар бягучага карыстальніка, файл профілю, які ўжо змяшчае лагін, і тое, што робіць скрыпт аўтаматызацыі. Кожнае месца мае свайго чытача, свой рэжым адмовы і сваё выдаленне, таму карыснае пытанне — які працэс можа аднавіць сакрэт і наколькі надоўга. Прасачыце сцяжок ад дыялогу вонкі, а затым вырашыце, што насамрэч выдае страчаны ноўтбук.

Пачніце са сцяжка ў дыялогу падключэння

Запомненыя значэнні захоўваюцца для кожнага профілю і кожнага ўліковага запісу Windows, у кусце карыстальніка, а не ў агульным сховішчы машыны. Менавіта таму другі карыстальнік на тым жа камп'ютары не бачыць захаванага лагіна і таму пераўсталёўка кліента не абавязкова выдаляе захаваны запіс.

Сам файл профілю захоўвае сервер, порт і налады, але не сакрэт, таму людзі спачатку даследуюць не той артэфакт. Такім чынам, выдаленне профілю прыбірае падключэнне і пакідае ўліковыя даныя на месцы. Гэта самая частая нечаканасць падчас чысткі. Выдаляйце абодва артэфакты, а не адзін.

Што выяўляе значэнне рэестра

Імя ўліковага запісу знаходзіцца ў чытальным тэксце, таму ўсё, што працуе ад імя гэтага карыстальніка, можа яго дэкадаваць без асаблівага выкліку. Пароль іншы: ён запячатаны Windows DPAPI, прывязаны да ўліковага запісу і, у залежнасці ад сцяжкоў, да канкрэтнай машыны. Таму перанясенне запячатанага блока на іншы камп'ютар і яго паўторнае прайграванне не дае прыдатнага сакрэту.

Пералік значэнняў адказвае на аператыўнае пытанне, не кранаючы самога сакрэту. Каб пацвердзіць існаванне запісу, нічога не трэба дэшыфраваць. Пералік таксама служыць запісам да і пасля для чысткі.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Дзве межы варта назваць прама. Працэс унутры той самай сесіі ўваходу можа выклікаць тую ж працэдуру зняцця аховы, якую выкарыстоўвае кліент, таму запячатванне — гэта ахова ў стане спакою, а не ад скампраметаванага працоўнага стала. А без поўнага шыфравання дыска запячатанае значэнне настолькі прыватнае, наколькі прыватны дыск.

Калі файл профілю ўжо змяшчае лагін

Некаторыя парталы выдаюць канфігурацыю з запісанымі ў яе імем уліковага запісу і паролем, таму кліент падключаецца маўкліва. У гэты момант файл — працоўныя ўліковыя даныя, і кожная яго копія — яшчэ адзін ключ да той жа дзвярэй.

Такія файлы трапляюць у рэзервовыя копіі, ланцужкі чатаў і сінхранізаваныя папкі, і ні адна з гэтых копій не перастае працаваць, калі арыгінал выдаляюць. Рэдагаванне лакальнага файла нічога не змяняе ў іншых. Адкліканне доступу азначае змену пароля на серверы, і зрабіць гэта трэба неадкладна. Чыстка на адным ноўтбуку — асобная, меншая задача.

Там, дзе запыт прымальны, аддавайце перавагу яму і выкарыстоўвайце сродкі кэшавання кліента. Калі папярэдне запоўнены профіль сапраўды патрэбны, трымайце яго па-за сінхранізаванымі папкамі і выдаляйце, калі праца скончыцца.

Аўтаматызацыя пераносіць сакрэт у іншае месца

Скрыпты ўводзяць яшчэ два каналы: аргументы працэсу і сінтэтычныя націскі клавіш. Файл, названы ў камандным радку, бачны ўсяму, што можа чытаць аргументы працэсу або правы файла, а пароль, набраны інструментам, ідзе ў тое акно, якое зараз у фокусе. Адзін апублікаваны прыклад набірае пароль працоўнага стала такім чынам перад запускам кліента. Захаванае зерне аднаразовага пароля заслугоўвае такой жа ўвагі, бо яно можа спарадзіць кожны будучы код і перажывае адзін уваход.

Лепшы ўзор захоўвае сакрэт там, дзе чытаць яго можа толькі службовы ўліковы запіс, спадзяецца на дакументаваныя параметры кліента для паўторнай спробы і крыніцы ўліковых даных і пазбягае ін'екцыі набору для запытаў прывілеяў. Калі скрыпту патрэбны пароль працоўнага стала для павышэння правоў, гэта пытанне праектавання прывілеяў, а не VPN.

Чыстка пасля страчанай прылады

Спачатку адклічце або адключыце ўліковы запіс на серверы, бо лакальнае выдаленне не можа ануляваць копію, якая ўжо ў кагосьці ёсць. Затым ачысціце запомненыя значэнні рэестра, выдаліце профіль і любыя файлы ўліковых даных і прашукайце гісторыю абалонкі і каталогі скрыптоў на ўстаўленыя паролі.

Запішыце, што было выдалена і калі доступ скончыўся. Гэтая пара адказвае на адзінае пытанне, якое задае разбор інцыдэнту: ці працавала яшчэ якая-небудзь копія ўліковых даных пасля знікнення прылады.