OpenVPN GUI mi uložil heslo Windows: kde se nachází

Připojovací dialog nabízí zaškrtávací políčko pro zapamatování přihlášení a jeho zaškrtnutím se údaje účtu přesunou z hlavy uživatele do stroje. Rozhraní nikdy neřekne kam. Ve Windows připadají v úvahu registrová oblast aktuálního uživatele, soubor profilu, který už přihlášení nese, a to, co dělá automatační skript. Každé místo má jiného čtenáře, jiný způsob selhání a jiný úklid, takže užitečná otázka zní, který proces dokáže tajemství obnovit a na jak dlouho. Sledujte zaškrtávací políčko z dialogu ven a pak rozhodněte, co ztracený notebook skutečně odhalí.

Začněte zaškrtávacím políčkem v připojovacím dialogu

Zapamatované hodnoty se uchovávají pro každý profil a každý účet Windows v uživatelském hive, nikoli ve sdíleném úložišti stroje. Proto druhý uživatel na stejném počítači nevidí žádné uložené přihlášení a proto přeinstalování klienta nutně nevymaže uložený záznam.

Soubor profilu sám uchovává server, port a nastavení, ale žádné tajemství, a proto lidé nejprve zkoumají špatný artefakt. Smazání profilu tedy odstraní připojení a přihlašovací údaje nechá na místě. To je při úklidu nejčastější překvapení. Odstraňte oba artefakty, ne jeden.

Co prozrazuje hodnota v registru

Název účtu je v čitelném textu, takže cokoli, co běží jako tento uživatel, ho dokáže dekódovat bez jakéhokoli zvláštního volání. Heslo je jiné: je zapečetěno Windows DPAPI, svázáno s účtem a podle příznaků i s konkrétním strojem. Přenos zapečetěného bloku na jiný počítač a jeho přehrání proto nevede k použitelnému tajemství.

Výpis hodnot odpovídá na provozní otázku, aniž by se dotkl samotného tajemství. K potvrzení, že záznam existuje, není třeba nic dešifrovat. Výpis slouží i jako záznam před úklidem a po něm.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dvě hranice stojí za to říct přímo. Proces ve stejné přihlášené relaci může zavolat stejnou rutinu odemčení, jakou používá klient, takže zapečetění je ochrana v klidu, nikoli proti kompromitovanému pracovnímu stole. A bez úplného šifrování disku je zapečetěná hodnota jen tak soukromá jako disk.

Když soubor profilu už přihlášení obsahuje

Některé portály vydávají konfiguraci s napsaným názvem účtu a heslem, takže se klient připojí tiše. V tu chvíli je soubor funkční přihlašovací údaj a každá jeho kopie je dalším klíčem ke stejným dveřím.

Takové soubory končí v zálohách, chatových vláknech a synchronizovaných složkách a žádná z těchto kopií nepřestane fungovat, když se originál smaže. Úprava místního souboru nic nemění na ostatních. Odvolání přístupu znamená změnit heslo na serveru, a to včas. Úklid na jednom notebooku je samostatný, menší úkol.

Kde je výzva přijatelná, dejte jí přednost a používejte ovládací prvky mezipaměti klienta. Pokud je předvyplněný profil opravdu nutný, držte ho mimo synchronizované složky a po skončení práce ho odstraňte.

Automatizace přesouvá tajemství jinam

Skripty zavádějí další dva kanály: argumenty procesu a syntetické stisky kláves. Soubor uvedený na příkazovém řádku je viditelný pro vše, co umí číst argumenty procesu nebo oprávnění souboru, a heslo napsané nástrojem jde do okna, které má právě fokus. Jeden zveřejněný příklad napíše heslo k pracovní ploše tímto způsobem před spuštěním klienta. Uložené semínko jednorázového hesla si zaslouží stejnou péči, protože dokáže vygenerovat každý budoucí kód a přežije jedno přihlášení.

Lepší vzor ukládá tajemství tam, kde ho může číst jen servisní účet, spoléhá na dokumentované volby klienta pro opakování a zdroj přihlašovacích údajů a vyhýbá se vstřikovanému psaní u výzev k oprávněním. Pokud skript potřebuje heslo k pracovní ploše kvůli zvýšení oprávnění, je to otázka návrhu oprávnění, ne VPN.

Úklid po ztraceném zařízení

Nejdřív odvolejte nebo zakažte účet na serveru, protože místní smazání nemůže zneplatnit kopii, kterou už někdo má. Potom vymažte zapamatované hodnoty v registru, odstraňte profil a všechny soubory přihlašovacích údajů a prohledejte historii shellu a adresáře skriptů, zda v nich nejsou vložená hesla.

Zapište, co bylo odstraněno a kdy přístup skončil. Tato dvojice odpovídá na jedinou otázku, kterou vyšetřování incidentu klade: fungovala po odchodu zařízení ještě nějaká kopie přihlašovacích údajů.