OpenVPN GUI gemte min Windows-adgangskode: hvor den ligger

Forbindelsesdialogen tilbyder en afkrydsningsboks til at huske login, og når den sættes, flytter kontooplysningerne fra brugerens hoved og ind i maskinen. Grænsefladen siger aldrig hvor. På Windows er kandidaterne den aktuelle brugers registreringsområde, en profilfil der allerede indeholder login, og hvad et automatiseringsscript gør. Hvert sted har en anden læser, en anden fejlfunktion og en anden oprydning, så det nyttige spørgsmål er, hvilken proces der kan gendanne hemmeligheden, og hvor længe. Følg afkrydsningsboksen ud fra dialogen, og beslut derefter, hvad en tabt bærbar egentlig afslører.

Start med afkrydsningsboksen i forbindelsesdialogen

Huskede værdier gemmes per profil og per Windows-konto i brugerens hive og ikke i et fælles maskinlager. Derfor ser en anden bruger på samme computer ingen gemt login, og derfor rydder en geninstallation af klienten ikke nødvendigvis den gemte post.

Selve profilfilen gemmer server, port og indstillinger, men ingen hemmelighed, og derfor undersøger folk først den forkerte artefakt. Sletning af profilen fjerner derfor forbindelsen og efterlader legitimationsoplysningerne. Det er den mest almindelige overraskelse under oprydningen. Fjern begge artefakter, ikke kun én.

Hvad registreringsværdien afslører

Kontonavnet står i læsbar tekst, så alt, der kører som den bruger, kan afkode det uden noget særligt kald. Adgangskoden er anderledes: den er forseglet med Windows DPAPI, bundet til kontoen og, afhængigt af flagene, til den specifikke maskine. At flytte den forseglede blok til en anden computer og afspille den igen giver derfor ingen brugbar hemmelighed.

At liste værdierne besvarer det operationelle spørgsmål uden at røre hemmeligheden selv. Der skal ikke dekrypteres noget for at bekræfte, at en post findes. Oplistningen fungerer også som før-og-efter-registrering til oprydningen.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

To grænser fortjener at blive sagt ligeud. En proces i den samme loggede session kan kalde samme afbeskyttelsesrutine, som klienten bruger, så forseglingen er beskyttelse i hvile og ikke mod et kompromitteret skrivebord. Og uden fuld diskkryptering er den forseglede værdi kun så privat som disken.

Når profilfilen allerede indeholder login

Nogle portaler udleverer en konfiguration med kontonavn og adgangskode skrevet ind, så klienten forbinder lydløst. På det tidspunkt er filen et fungerende login, og hver kopi af den er en ny nøgle til samme dør.

Sådanne filer ender i sikkerhedskopier, chattråde og synkroniserede mapper, og ingen af disse kopier holder op med at virke, når originalen slettes. Redigering af den lokale fil ændrer intet på de andre. Tilbagekaldelse af adgang betyder at ændre adgangskoden på serveren, og det skal gøres hurtigt. Oprydning på én bærbar er en separat, mindre opgave.

Hvor en prompt er acceptabel, foretræk den, og brug klientens cacheindstillinger. Hvis en forudfyldt profil virkelig er nødvendig, så hold den ude af synkroniserede mapper, og fjern den, når arbejdet er slut.

Automatisering flytter hemmeligheden et andet sted hen

Scripts indfører to kanaler mere: procesargumenter og syntetiske tastetryk. En fil, der nævnes på en kommandolinje, er synlig for alt, der kan læse procesargumenter eller filens rettigheder, og en adgangskode, som et værktøj skriver, går til det vindue, der har fokus. Et offentliggjort eksempel skriver skrivebordets adgangskode på den måde, før klienten startes. Et gemt engangskodefrø fortjener samme omhu, fordi det kan generere hver fremtidig kode og overlever et enkelt login.

Det bedre mønster gemmer hemmeligheden, hvor kun tjenestekontoen kan læse den, stoler på klientens dokumenterede muligheder for genforsøg og legitimationskilde og undgår injiceret skrivning ved privilegieprompts. Hvis scriptet har brug for skrivebordets adgangskode til forhøjelse, er det et spørgsmål om privilegiedesign og ikke om VPN.

Oprydning efter en mistet enhed

Tilbagekald eller deaktiver kontoen på serveren før alt andet, fordi lokal sletning ikke kan ugyldiggøre en kopi, som nogen allerede har. Ryd derefter de huskede registreringsværdier, fjern profilen og eventuelle legitimationsfiler, og gennemsøg shell-historik og scriptmapper for indsatte adgangskoder.

Skriv ned, hvad der blev fjernet, og hvornår adgangen sluttede. Det par besvarer det eneste spørgsmål, en hændelsesgennemgang stiller: om en kopi af legitimationsoplysningerne stadig virkede, efter at enheden forsvandt.