OpenVPN GUI va desar la meva contrasenya de Windows: on és

El diàleg de connexió ofereix una casella per recordar l'inici de sessió, i en marcar-la les dades del compte surten del cap de l'usuari i passen a la màquina. La interfície no diu mai on. A Windows, els candidats són l'àrea del registre de l'usuari actual, un fitxer de perfil que ja porta l'inici de sessió i el que faci un script d'automatització. Cada lloc té un lector diferent, una manera de fallar diferent i una neteja diferent, així que la pregunta útil és quin procés pot recuperar el secret i durant quant de temps. Seguiu la casella des del diàleg cap enfora i després decidiu què exposa realment un portàtil perdut.

Comenceu per la casella del diàleg de connexió

Els valors recordats es guarden per perfil i per compte de Windows, al rusc de l'usuari i no en un magatzem compartit de la màquina. Per això un segon usuari del mateix ordinador no veu cap inici de sessió desat, i per això reinstal·lar el client no necessàriament esborra l'entrada desada.

El fitxer de perfil conserva el servidor, el port i la configuració, però cap secret, i per això la gent inspecciona primer l'artefacte equivocat. Per tant, esborrar el perfil elimina la connexió i deixa la credencial enrere. Aquesta és la sorpresa més habitual durant la neteja. Elimineu tots dos artefactes, no un de sol.

Què revela el valor del registre

El nom del compte és en text llegible, així que qualsevol cosa que s'executi com aquest usuari el pot descodificar sense cap crida especial. La contrasenya és diferent: està segellada amb Windows DPAPI, lligada al compte i, segons els indicadors, a la màquina concreta. Per tant, traslladar el bloc segellat a un altre ordinador i reproduir-lo no produeix un secret utilitzable.

Llistar els valors respon la pregunta operativa sense tocar el secret. No cal desxifrar res per confirmar que existeix una entrada. El llistat també serveix de registre d'abans i després per a la neteja.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dos límits mereixen dir-se clarament. Un procés dins de la mateixa sessió iniciada pot cridar la mateixa rutina de desemmascarament que fa servir el client, de manera que el segellat és protecció en repòs i no contra un escriptori compromès. I sense xifratge de disc complet, el valor segellat és tan privat com el disc.

Quan el fitxer de perfil ja conté l'inici de sessió

Alguns portals lliuren una configuració amb el nom del compte i la contrasenya escrits a dins, així que el client es connecta en silenci. En aquest moment el fitxer és una credencial que funciona, i cada còpia és una altra clau per a la mateixa porta.

Aquests fitxers acaben en còpies de seguretat, fils de xat i carpetes sincronitzades, i cap d'aquestes còpies deixa de funcionar quan s'esborra l'original. Editar el fitxer local no canvia res als altres. Revocar l'accés vol dir canviar la contrasenya al servidor, i fer-ho de seguida. La neteja en un portàtil és una tasca separada i més petita.

On un avís sigui acceptable, preferiu-lo i feu servir els controls de memòria cau del client. Si un perfil preomplert és realment necessari, manteniu-lo fora de les carpetes sincronitzades i traieu-lo quan acabi la feina.

L'automatització mou el secret a un altre lloc

Els scripts introdueixen dos canals més: arguments de procés i pulsacions sintètiques. Un fitxer nomenat en una línia d'ordres és visible per a tot el que pugui llegir els arguments del procés o els permisos del fitxer, i una contrasenya escrita per una eina va a la finestra que té el focus. Un exemple publicat escriu la contrasenya de l'escriptori d'aquesta manera abans d'iniciar el client. Una llavor de contrasenya d'un sol ús desada mereix la mateixa cura, perquè pot generar cada codi futur i sobreviu a un sol inici de sessió.

El patró millor desa el secret on només el compte de servei el pot llegir, es basa en les opcions documentades del client de reintent i d'origen de credencials, i evita l'escriptura injectada als avisos de privilegis. Si el script necessita la contrasenya de l'escriptori per elevar privilegis, això és una qüestió de disseny de privilegis, no de VPN.

Neteja després d'un dispositiu perdut

Revogueu o desactiveu el compte al servidor abans que res, perquè l'esborrat local no pot invalidar una còpia que algú ja té. Després netegeu els valors recordats del registre, elimineu el perfil i qualsevol fitxer de credencials, i busqueu contrasenyes enganxades a l'historial de la consola i als directoris de scripts.

Anoteu què es va eliminar i quan va acabar l'accés. Aquest parell respon l'única pregunta que fa una revisió d'incidents: si alguna còpia de la credencial encara funcionava després que el dispositiu marxés.