OpenVPN GUI mi je sačuvao Windows lozinku: gdje se nalazi

Dijalog za povezivanje nudi polje za potvrdu da zapamti prijavu, a njegovim označavanjem podaci o računu prelaze iz korisnikove glave u mašinu. Sučelje nikada ne kaže gdje. Na Windowsu su kandidati registarsko područje trenutnog korisnika, datoteka profila koja već nosi prijavu i ono što radi skripta za automatizaciju. Svako mjesto ima drugog čitača, drugi način kvara i drugo čišćenje, pa je korisno pitanje koji proces može vratiti tajnu i na koliko dugo. Pratite polje za potvrdu od dijaloga prema vani, pa odlučite šta izgubljeni laptop zapravo otkriva.

Počnite s poljem za potvrdu u dijalogu za povezivanje

Zapamćene vrijednosti čuvaju se po profilu i po Windows računu, u korisničkom roju, a ne u zajedničkoj pohrani mašine. Zato drugi korisnik na istom računaru ne vidi sačuvanu prijavu i zato ponovno instaliranje klijenta ne mora obrisati sačuvani unos.

Sama datoteka profila čuva server, port i postavke, ali ne i tajnu, zato ljudi prvo pregledaju pogrešan artefakt. Brisanje profila zato uklanja vezu, a akreditive ostavlja za sobom. To je najčešće iznenađenje tokom čišćenja. Uklonite oba artefakta, ne jedan.

Šta otkriva registarska vrijednost

Ime računa stoji u čitljivom tekstu, pa sve što radi kao taj korisnik može ga dekodirati bez ikakvog posebnog poziva. Lozinka je drukčija: zapečaćena je Windows DPAPI-jem, vezana za račun i, zavisno od zastavica, za konkretnu mašinu. Zato prenošenje zapečaćenog bloba na drugo računalo i njegovo ponovno puštanje ne daje upotrebljivu tajnu.

Popisivanje vrijednosti odgovara na operativno pitanje ne dirajući samu tajnu. Ništa se ne mora dešifrirati da bi se potvrdilo da unos postoji. Popis služi i kao zapis prije i poslije čišćenja.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dvije granice zaslužuju da budu jasno rečene. Proces unutar iste prijavljene sesije može pozvati istu rutinu za skidanje zaštite koju koristi klijent, pa je pečaćenje zaštita u mirovanju, a ne od kompromitovanog radnog stola. A bez pune enkripcije diska zapečaćena vrijednost je privatna koliko i disk.

Kada datoteka profila već sadrži prijavu

Neki portali daju konfiguraciju s upisanim imenom računa i lozinkom, pa se klijent povezuje tiho. U tom trenutku datoteka je radna akreditiva, a svaka njezina kopija još je jedan ključ za ista vrata.

Takve datoteke završe u sigurnosnim kopijama, chat nitima i sinkroniziranim mapama, i nijedna od tih kopija ne prestaje raditi kad se original izbriše. Uređivanje lokalne datoteke ne mijenja ništa na ostalima. Ukidanje pristupa znači promjenu lozinke na serveru, i to brzo. Čišćenje na jednom laptopu je odvojen, manji zadatak.

Gdje je upit prihvatljiv, dajte mu prednost i koristite klijentove kontrole keširanja. Ako je unaprijed popunjen profil zaista potreban, držite ga izvan sinkroniziranih mapa i uklonite ga kad posao završi.

Automatizacija premješta tajnu drugdje

Skripte uvode još dva kanala: argumente procesa i sintetičke pritiske tipki. Datoteka navedena u naredbenom retku vidljiva je svemu što može čitati argumente procesa ili dozvole datoteke, a lozinka koju otipka alat ide u prozor koji trenutno ima fokus. Jedan objavljeni primjer otipka lozinku radnog stola na taj način prije pokretanja klijenta. Sačuvano sjeme jednokratne lozinke zaslužuje istu pažnju, jer može generirati svaki budući kod i nadživjeti jednu prijavu.

Bolji obrazac čuva tajnu tamo gdje je može čitati samo servisni račun, oslanja se na klijentove dokumentirane opcije ponovnog pokušaja i izvora akreditiva i izbjegava ubrizgano tipkanje kod upita za privilegije. Ako skripti treba lozinka radnog stola za podizanje privilegija, to je pitanje dizajna privilegija, a ne VPN-a.

Čišćenje nakon izgubljenog uređaja

Prvo ukinite ili onemogućite račun na serveru, jer lokalno brisanje ne može poništiti kopiju koju neko već ima. Zatim obrišite zapamćene registarske vrijednosti, uklonite profil i sve datoteke akreditiva te pretražite povijest ljuske i mape skripti za zalijepljene lozinke.

Zapišite šta je uklonjeno i kada je pristup završio. Taj par odgovara na jedino pitanje koje pregled incidenta postavlja: je li neka kopija akreditiva još radila nakon što je uređaj otišao.