Torna a connectar una VPN de Windows sense posar la contrasenya a la tasca

Cada recepta de reconnexió desatesa arriba tard o d'hora a la mateixa pregunta: on viu la contrasenya. La resposta popular és la mateixa acció de la tasca, que també és el pitjor lloc per a ella. Existeixen dos dissenys més. Quin encaixa depèn de si la màquina pot autenticar-se sense una persona i de si el servidor accepta certificats.

Què deixa llegible una acció de tasca

Els arguments d'una tasca programada formen part de la seva definició, no són un valor ocult en temps d'execució. Qualsevol que pugui llegir la tasca, restaurar-ne una còpia de seguretat o exportar-ne l'XML veu la cadena exactament com la vas escriure. Durant una execució, la mateixa cadena apareix a la llista de processos. Un agent de monitorització pot copiar-la en un registre que mai reviseu.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Comprova-ho abans de suposar el contrari. La primera ordre imprimeix la definició completa, inclosa l'acció i els seus arguments. La segona mostra quines credencials ha desat a la memòria cau el compte actual, cosa que importa per als dissenys alternatius d'aquí baix. Si la contrasenya apareix a l'XML de la tasca, canviar-la només és la meitat de la reparació, perquè la tasca encara guarda el valor antic.

Què compra realment una clau prèviament compartida desada

Add-VpnConnection -L2tpPsk escriu la clau a l'entrada de l'agenda telefònica de la connexió en lloc d'escriure-la en una tasca. És una superfície d'exposició més petita que una acció de tasca. Tot i així és un secret recuperable, perquè un administrador de la màquina pot llegir l'agenda telefònica.

Per a un enllaç de laboratori entre dues màquines que controleu, aquest intercanvi pot ser acceptable. Per a una credencial d'usuari en un punt final compartit, no ho és. Anomenar-lo emmagatzematge xifrat no canvia qui el pot llegir. L'agenda telefònica és un fitxer de configuració. Planifiqueu per a la persona que el pot obrir, no només per a la persona que pot iniciar sessió com a usuari.

Les credencials de Winlogon eliminen el secret i afegeixen una dependència

-UseWinlogonCredential segueix una ruta diferent. La connexió s'autentica amb MSCHAPv2 contra les credencials de l'usuari amb sessió iniciada. No es desa res extra per a aquest compte.

La dependència que afegeix és important. Hi ha d'haver un inici de sessió interactiu d'on manllevar, cosa que descarta un compte de servei i una tasca prèvia a l'inici de sessió. La connexió també hereta tot allò que les credencials d'aquest usuari poden abastar al servidor. Llegeix el commutador com una declaració sobre d'on ve la credencial, no com un paràmetre de seguretat. Canvia la font, i res sobre com el servidor autoritza la sessió després.

L'autenticació amb certificats escala perquè no es desa res

On el servidor admet EAP-TLS, un certificat de màquina elimina del tot el secret compartit, i la revocació passa a la capa de certificat. Una tasca que s'executa com a SYSTEM pot presentar aquest certificat sense un inici de sessió interactiu. Confirmeu que el servidor accepta l'autenticació amb certificats abans de construir-hi al damunt. Un disseny que depèn d'un mètode no admès és un pla, no una solució. Després decidiu on viu la clau privada: el magatzem de la màquina per a la identitat d'un dispositiu, el magatzem de l'usuari per a una persona.

On no es poden evitar un nom d'usuari i una contrasenya, deseu-los a Credential Manager limitats al compte propi de la tasca. Deixeu que el client els llegeixi d'allà en lloc d'un argument. Un secret que la tasca pot obtenir sense imprimir-lo és un problema més petit que un d'escrit a la seva definició.

Reviseu els artefactes abans de la propera rotació

Mireu què es desa i no què preteníeu. Comproveu l'agenda telefònica per usuari, la còpia per a tots els usuaris, l'XML de la tasca i qualsevol script que cridi l'ordre de marcació. Després confirmeu que el certificat o la credencial a la memòria cau està limitada al compte que fa servir la tasca, perquè una credencial desada per al vostre compte interactiu és invisible per a SYSTEM.

Anoteu el mètode d'autenticació i el compte a les notes de la mateixa tasca. La propera persona que canviï la política del servidor ha de saber quin disseny està en joc. Aquesta resposta no es veu només pel comportament de reconnexió. Escriviu-la on la propera rotació mirarà primer.