OpenVPN GUI запомни паролата ми за Windows: къде се намира

Диалогът за свързване предлага отметка за запомняне на данните за вход и след като я отметнете, данните на акаунта напускат главата на потребителя и отиват в машината. Интерфейсът никога не казва къде. В Windows възможните места са регистърната област на текущия потребител, файл на профил, който вече съдържа данните за вход, и това, което прави даден скрипт за автоматизация. Всяко място има различен четец, различен режим на отказ и различно почистване, затова полезният въпрос е кой процес може да възстанови тайната и за колко време. Проследете отметката навън от диалога и после решете какво всъщност разкрива един изгубен лаптоп.

Започнете с отметката в диалога за свързване

Запомнените стойности се пазят за всеки профил и за всеки акаунт в Windows, в потребителския кошер, а не в общо хранилище на машината. Затова втори потребител на същия компютър не вижда запазени данни за вход и затова преинсталирането на клиента не изчиства непременно запазения запис.

Самият файл на профила пази сървъра, порта и настройките, но не и тайна, поради което хората първо преглеждат грешния артефакт. Затова изтриването на профила премахва връзката и оставя данните за удостоверяване на място. Това е най-честата изненада при почистване. Премахнете и двата артефакта, не само един.

Какво разкрива стойността в регистъра

Името на акаунта стои в четим текст, така че всичко, което работи като този потребител, може да го декодира без специално извикване. Паролата е различна: тя е запечатана с Windows DPAPI, обвързана е с акаунта и, в зависимост от флаговете, с конкретната машина. Затова преместването на запечатания блок на друг компютър и повторното му възпроизвеждане не дава използваема тайна.

Изброяването на стойностите отговаря на оперативния въпрос, без да се докосва самата тайна. Не е нужно нищо да се дешифрира, за да се потвърди, че запис съществува. Списъкът служи и като запис преди и след почистването.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Две граници заслужават да бъдат казани направо. Процес в същата вписана сесия може да извика същата процедура за премахване на защитата, която използва клиентът, така че запечатването е защита в покой, а не срещу компрометиран работен плот. А без пълно шифроване на диска запечатаната стойност е толкова поверителна, колкото е диска.

Когато файлът на профила вече съдържа данните за вход

Някои портали издават конфигурация с вписани в нея име на акаунт и парола, така че клиентът се свързва тихо. В този момент файлът е работещи данни за удостоверяване и всяко негово копие е още един ключ към същата врата.

Такива файлове попадат в резервни копия, чат нишки и синхронизирани папки и нито едно от тези копия не спира да работи, когато оригиналът бъде изтрит. Редактирането на локалния файл не променя нищо в останалите. Отнемането на достъп означава смяна на паролата на сървъра и то своевременно. Почистването на един лаптоп е отделна, по-малка задача.

Където подканата е приемлива, предпочитайте нея и използвайте контролите за кеширане на клиента. Ако предварително попълнен профил наистина е нужен, дръжте го извън синхронизирани папки и го премахнете, когато работата приключи.

Автоматизацията мести тайната другаде

Скриптовете въвеждат още два канала: аргументи на процеса и синтетични натискания на клавиши. Файл, посочен в команден ред, е видим за всичко, което може да чете аргументите на процеса или правата на файла, а парола, написана от инструмент, отива в прозореца, който в момента е на фокус. Един публикуван пример написва паролата на работния плот по този начин преди стартирането на клиента. Запазеното семе за еднократна парола заслужава същото внимание, защото може да генерира всеки бъдещ код и надживява един вход.

По-добрият модел пази тайната там, където само служебният акаунт може да я чете, разчита на документираните опции на клиента за повторен опит и източник на удостоверяване и избягва инжектирано писане при подкани за привилегии. Ако скриптът се нуждае от паролата на работния плот за повишаване на права, това е въпрос на дизайн на привилегии, а не на VPN.

Почистване след изгубено устройство

Отнемете или деактивирайте акаунта на сървъра преди всичко друго, защото локалното изтриване не може да обезсили копие, което някой вече има. След това изчистете запазените стойности в регистъра, премахнете профила и всички файлове с данни за удостоверяване и претърсете историята на обвивката и папките на скриптовете за поставени пароли.

Запишете какво е премахнато и кога достъпът е приключил. Тази двойка отговаря на единствения въпрос, който задава прегледът на инцидент: дали някое копие на данните за удостоверяване е продължило да работи, след като устройството е напуснало.