Viscosity запомніў пароль: што насамрэч зрабіў гэты сцяжок

Гэты сцяжок на экране ўваходу выглядае як перавага кліента, але на кіраванай машыне ён часта аказваецца рашэннем палітыкі. Кантроль запамінання Viscosity захоўвае ўліковыя даныя ў звязцы ключоў macOS, калі разгортванне дазваляе захоўванне. Міф у тым, што сцяжок заўсёды ваш для ўсталявання. На практыцы яго могуць блакаваць тры асобныя рэчы, і толькі адна з іх датычыцца пароля.

Што сцяжок насамрэч захоўвае

Выбар опцыі запамінання просіць кліента захаваць значэнне для гэтага аднаго злучэння і ўліковага запісу. Элемент трапляе ў звязку ключоў, і пазнейшыя ўваходы паўторна выкарыстоўваюць яго праз падтрыманы запыт, а не праз схаваную перавагу. У сам файл злучэння нічога не запісваецца. Гэтае раздзяленне таксама тлумачыць, чаму выдаленне элемента пазней дае запыт, а не зламаны профіль.

Захаванае значэнне — гэта ўваход для аўтэнтыфікацыі, якую сервер усё роўна выконваў бы. Яно не мяняе тое, што патрабуе шлюз, не абыходзіць другі фактар і не ператварае аднаразовы код у паўторна выкарыстоўваны сакрэт. Яно скарачае набор, а не палітыку, якую разгортванне ўжывае да гэтага ўліковага запісу.

Чаму кантроль можа быць адсутным

Адміністратар можа адключыць захаванне ўліковых даных для кіраванай устаноўкі, і SparkLabs апісвае кантроль запамінання разам з яго паводзінамі ў звязцы ключоў у кіраўніцтве па захаванні ўліковых даных. Калі сцяжок адсутнічае, ён не зламаны, і пошук каманды пераваг, якая яго абыходзіць, — няправільны адказ.

Спытайце ўласніка, які падтрыманы працэс ужываецца замест гэтага. Разгортванне, якое забараняе захоўванне, звычайна мае прычыну, і прычына часта ў тым, што ўліковы запіс агульны, прылада не давераная або ўліковыя даныя павінны скончыцца па раскладзе. Абыход налады ператварае наўмысны кантроль у інцыдэнт, і інцыдэнт звычайна прыходзіць з чужым аўдытам у дадатку.

На некіраванай устаноўцы адсутны кантроль — гэта пытанне падтрымкі з нумарам версіі. Дашліце ўсталяваную зборку кліента і тое, што запыт фактычна паказвае, замест здагадкі пра схаваныя прадвызначэнні.

Тры запыты, якія не адзін і той жа запыт

Аднаразовы код — не пароль, пароль — не дазвол звязкі ключоў, а адмова сервера — ні адно з трох. Іх змешванне стварае збоі, якія чытаюцца як няправільныя ўліковыя даныя, тады як сапраўдная праблема — поле, дыялог або маршрут.

Дыялог звязкі ключоў лакальны па задуме. Ён пытае, ці можа гэтая праграма чытаць гэты элемент на гэтай машыне, і яго ўхваленне нічога не кажа VPN-серверу.

Таму адмова ў дыялогу стварае збой на баку кліента, якога сервер ніколі не бачыць, тады як няправільны пароль стварае адмову на баку сервера, пра якую кліент можа толькі паведаміць. Прачытайце дыялог перад адказам і праверце, што запытваючая праграма — гэта кліент, якога вы чакаеце, а не ўсталёўшчык ці дапаможны працэс. Гэтае адрозненне найважнейшае на агульных машынах, дзе элемент можа быць даступны больш чым аднаму ўліковаму запісу.

Другі фактар стаіць па-за ўсім гэтым. Захаванне пароля не захоўвае код, і разгортванне, якое патрабуе код, па-ранейшаму патрабуе яго пры кожным злучэнні. Трымайце гэты крок бачным падчас тэставання, бо працэс, які моўчкі яго прапускае, — не той працэс, які вы наладзілі.

Аднаўленне адных уліковых даных без скіду астатніх

Калі аўтэнтыфікацыя не ўдаецца пасля змены пароля, выкарыстоўвайце дакументаваны шлях паўторнага запыту і абнаўлення кліента для гэтага аднаго злучэння, а не рэдагуйце звязку ключоў уручную. Прачытайце паведамленне перад заменай чаго-небудзь, бо тайм-аўт, адмова сертыфіката або адсутны маршрут не выпраўляюцца перазапісам захаванага пароля. Паўтарэнне гэтага пераважна прывучае вас ігнараваць памылку, якую паказвае кліент. Абнавіце закранутыя ўліковыя даныя, потым падключыцеся зноў і паглядзіце, які запыт з’явіцца.

Поўны скід звязкі ключоў, які прапануюць форумы падтрымкі, — значна большая змена, чым праблема. Захаваны пароль аднаго злучэння не мае нічога агульнага з сертыфікатам іншага, і ачыстка ўсяго ператварае адзін састарэлы элемент у цэлую пасляабедзенную перарэгістрацыю.

Завяршыце адключэннем і паўторным падключэннем праз звычайныя элементы кіравання, пацвердзіўшы, што выкарыстоўваецца патрэбны ўліковы запіс і што выдаленне захаванага элемента дае запыт, а не збой. Прадказальнае паўторнае выкарыстанне з адным ясным спосабам абнавіць або выдаліць уліковыя даныя — вось вынік, які варта праверыць.