Zaustavite NetworkManager da prikazuje sačuvanu VPN lozinku

NetworkManager može držati VPN lozinku tako da se veza podigne bez ikakvog upisivanja, a tu vrijednost može ponovo prikazati kroz uređivač ili kroz nmcli --show-secrets. Dostupna su tri modela vlasništva, a ponašanje prikaza samo je simptom toga koji ste odabrali. Prvo odaberite model, a zatim postavite zastavicu koja mu odgovara, umjesto da skrivate polje rezervnim tekstom koji će zbuniti sljedeću osobu.

Tri modela vlasništva

Prvi model pita svaki put. Ništa se ne čuva, tajna postoji samo dok traje aktivacija, i svako ko pokrene vezu mora znati lozinku. To je najmanje udobna opcija i najlakša za odbranu.

Drugi predaje tajnu privjesku ključeva koji posjeduje korisnik. Agent se otključava kad sesija počne i dostavlja vrijednost na zahtjev, što je drži izvan datoteke veze ali veže vezu za sesiju tog korisnika. Iz toga slijede dva uslova: agent mora raditi i mora biti otključan.

Treći čuva zaštićene akreditive za sistemsku vezu. Preživljava ponovna pokretanja i radi prije nego se bilo ko prijavi, a zauzvrat vrijednost leži na disku čuvana dozvolama datoteke, a ne šifriranjem.

Svaki model je razuman u pravom kontekstu. Greška je miješati ih, jer tako laptop završi s tajnom na dva mjesta i bez jasnog odgovora koja je mjerodavna. Zapišite koji model profil koristi. Jedan red u timskom priručniku spašava sljedeću osobu od izmišljanja četvrtog mjesta za traženje.

Pročitajte trenutno stanje prije promjene

Pogledajte profil i stanje tajne kao korisnik koji upravlja vezom. Druga naredba je ona koja vam kaže je li vrijednost zaista čitljiva.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Datoteka s ključem u tom direktoriju obično je vlasništvo roota s načinom 600. To drži obične korisnike vani i ne drži root vani, što je važno kad je isti računar dijeljen ili kad sigurnosna kopija radi kao root.

Dozvole datoteke su granica, a ne šifriranje. Svako ko može pročitati datoteku kao root ima lozinku u čistom tekstu. To je prihvatljiva razmjena za server bez nadzora i loša za dijeljenu radnu stanicu. Jednom zapisano sprječava dugu raspravu o tome je li vrijednost zaštićena.

Šta radi svaka vrijednost zastavice

VPN tajna nosi svojstvo flags, a vrijednosti nisu intuitivne samo iz brojeva.

Stvarno ponašanje zavisi i od priključka i od toga radi li agent, pa tabelu tretirajte kao ugovor, a zapaženo ponašanje kao ono što provjeravate. Vrijednost koja radi na jednoj radnoj površini može se ponašati drugačije na serveru bez sesije. U tom jazu živi većina zbunjujućih prijava.

Postavite svojstvo izričito umjesto da brišete red i nadate se. Odsutna zastavica nije politika, a sljedeće ažuriranje paketa može je popuniti nečim što niste namjeravali.

Uskladite model s trenutkom kad veza počinje

Ako veza počinje samo dok je korisnik prijavljen, vlasništvo agenta dobro pristaje i drži tajnu izvan datoteke. Ako počinje pri podizanju sistema, prije nego postoji ikakva sesija, agent vam ne može pomoći.

To je cijela odluka za većinu računara. To objašnjava i klasu zbunjujućih izvještaja gdje veza radi interaktivno i ne uspije nakon ponovnog pokretanja. Zastavica se nikad nije promijenila; kontekst se promijenio.

Za slučaj bez nadzora praktičan odgovor je ograničena datoteka u vlasništvu roota ili odobren izvor akreditiva. Držite je izvan profila veze ako se taj profil ikad izveze ili kopira na drugi računar.

Ako je vrijednost već bila vidljiva, zamijenite je

Promjena zastavice ne dira samu lozinku. Vrijednost koja se pojavila na snimku ekrana, u historiji shell-a, u paketu poslanom podršci ili u datoteci koju su drugi korisnici mogli otvoriti treba smatrati otkrivenom.

Promijenite je na serveru, zatim popravite klijenta i prekinite svaku sesiju koja se autentifikovala starom. Brisanje lokalne veze ne opoziva ništa na drugoj strani, i to je dio koji ljudi propuštaju.

Zatim prestanite stavljati lozinku na komandnu liniju. Ona završi u historiji shell-a i može se pojaviti u listi procesa; koristite interaktivni upit ili agenta.

Provjerite ponovnim povezivanjem

Ponovite naredbu koja je pokazala tajnu i potvrdite da se polje više ne ispisuje. Zatim se odspojite i ponovo spojite, a ako se veza pokreće automatski, ponovo pokrenite sistem, jer se zanimljiv kvar pojavljuje samo kad se promijeni kontekst sesije.

Ako se tajna i dalje pojavljuje, dostavlja je drugi profil ili drugi agent. Pregledajte aktivnu vezu i privjesak ključeva umjesto da brišete datoteke dok se simptom ne pomjeri.