Viscosity va recordar la contrasenya: què va fer aquella casella

Aquesta casella a la pantalla d’inici de sessió sembla una preferència del client, però en una màquina gestionada sovint és una decisió de política. El control de recordar de Viscosity desa la credencial al clauer de macOS quan el desplegament permet l’emmagatzematge. El mite és que la casella sempre és teva per configurar-la. A la pràctica, tres coses separades poden bloquejar-la, i només una té a veure amb la contrasenya.

Què desa realment la casella

Seleccionar l’opció de recordar demana al client que conservi el valor per a aquella connexió i aquell compte. L’element arriba al clauer, i els inicis de sessió posteriors el reutilitzen mitjançant el diàleg admès en lloc d’una preferència oculta. No s’escriu res al fitxer de connexió. Aquesta separació també explica per què eliminar l’element més endavant produeix un diàleg en lloc d’un perfil trencat.

El valor desat és una entrada per a l’autenticació que el servidor ja havia de fer. No canvia què exigeix la passarel·la, no evita un segon factor i no converteix un codi d’un sol ús en un secret reutilitzable. El que escurça és l’escriptura, no la política que el desplegament aplica a aquell compte.

Per què pot faltar el control

Un administrador pot desactivar el desament de credencials en una instal·lació gestionada, i SparkLabs documenta el control de recordar juntament amb el seu comportament al clauer a la guia d’emmagatzematge de credencials. Quan la casella no hi és, no està espatllada, i buscar una ordre de preferències que la anul·li és la resposta equivocada.

Pregunteu al propietari quin flux de treball admès s’aplica en lloc d’això. Un desplegament que prohibeix l’emmagatzematge normalment té un motiu, i el motiu sovint és que el compte és compartit, que el dispositiu no és de confiança o que la credencial ha de caducar segons un calendari. Eludir la configuració converteix un control intencionat en un incident, i l’incident sol arribar amb l’auditoria d’una altra persona adjunta.

En una instal·lació no gestionada, un control absent és una pregunta de suport amb un número de versió adjunt. Envieu la versió instal·lada del client i què mostra realment el diàleg, en lloc d’endevinar valors predeterminats ocults.

Tres diàlegs que no són el mateix diàleg

Un codi d’un sol ús no és una contrasenya, una contrasenya no és una autorització del clauer, i un rebuig del servidor no és cap de les tres. Barrejar-los produeix errors que es llegeixen com a credencials incorrectes quan el problema real és un camp, un diàleg o una ruta.

El diàleg del clauer és local per disseny. Pregunta si aquesta aplicació pot llegir aquest element en aquesta màquina, i aprovar-lo no diu res al servidor VPN.

Per això, denegar el diàleg produeix un error al costat del client que el servidor no veu mai, mentre que una contrasenya incorrecta produeix un rebuig al costat del servidor que el client només pot comunicar. Llegiu el diàleg abans de respondre’l, i comproveu que l’aplicació sol·licitant és el client que espereu i no un instal·lador o un procés auxiliar. La distinció és més important en màquines compartides, on l’element pot ser accessible per més d’un compte.

Un segon factor queda fora de tot això. Desar una contrasenya no desa el codi, i un desplegament que exigeix el codi el continua exigint a cada connexió. Manteniu aquest pas visible durant les proves, perquè un flux que el salta silenciosament no és el flux que heu configurat.

Recuperar una credencial sense reiniciar la resta

Si l’autenticació falla després d’un canvi de contrasenya, feu servir el camí documentat de tornada a demanar i actualització del client per a aquella connexió, en lloc d’editar el clauer a mà. Llegiu el missatge abans de substituir res, ja que un temps d’espera esgotat, un rebuig de certificat o una ruta absent no es reparen sobreescrivint una contrasenya desada. Fer-ho repetidament sobretot us acostuma a ignorar l’error que mostra el client. Actualitzeu la credencial afectada, torneu a connectar-vos i observeu quin diàleg apareix.

El reinici complet del clauer que suggereixen els fòrums de suport és un canvi molt més gran que el problema. La contrasenya desada d’una connexió no té res a veure amb el certificat d’una altra, i esborrar-ho tot converteix un sol element obsolet en una tarda de reinscripció.

Acabeu desconnectant i tornant a connectar amb els controls habituals, confirmant que s’utilitza el compte previst i que eliminar l’element desat produeix un diàleg en lloc d’un error. La reutilització previsible amb una manera clara d’actualitzar o eliminar la credencial és el resultat que val la pena provar.