Σταματήστε το NetworkManager να εμφανίζει αποθηκευμένο κωδικό VPN

Το NetworkManager μπορεί να κρατά έναν κωδικό VPN ώστε η σύνδεση να ενεργοποιείται χωρίς να τον πληκτρολογεί κανείς, και μπορεί να εμφανίζει ξανά αυτή την τιμή μέσω του επεξεργαστή ή μέσω nmcli --show-secrets. Υπάρχουν τρία μοντέλα ιδιοκτησίας, και η συμπεριφορά εμφάνισης είναι μόνο σύμπτωμα του ποιο επιλέξατε. Επιλέξτε πρώτα το μοντέλο και μετά ορίστε τη σημαία που του ταιριάζει, αντί να κρύβετε ένα πεδίο με ένα σύμβολο θέσης που θα μπερδέψει τον επόμενο άνθρωπο.

Τρία μοντέλα ιδιοκτησίας

Το πρώτο μοντέλο ζητά τον κωδικό κάθε φορά. Δεν αποθηκεύεται τίποτα, το μυστικό υπάρχει μόνο όσο διαρκεί η ενεργοποίηση, και όποιος ξεκινά τη σύνδεση πρέπει να ξέρει τον κωδικό. Είναι η λιγότερο βολική επιλογή και η ευκολότερη να υπερασπιστείς.

Το δεύτερο δίνει το μυστικό σε ένα κλειδοθήκη που ανήκει στον χρήστη. Ο πράκτορας ξεκλειδώνει όταν αρχίζει η συνεδρία και παρέχει την τιμή κατά απαίτηση, κάτι που την κρατά έξω από το αρχείο σύνδεσης αλλά δένει τη σύνδεση με τη συνεδρία αυτού του χρήστη. Από αυτό προκύπτουν δύο προϋποθέσεις: ο πράκτορας πρέπει να τρέχει και πρέπει να είναι ξεκλείδωτος.

Το τρίτο αποθηκεύει ένα προστατευμένο διαπιστευτήριο για σύνδεση συστήματος. Επιβιώνει από επανεκκινήσεις και λειτουργεί πριν συνδεθεί κανείς, και σε αντάλλαγμα η τιμή βρίσκεται στον δίσκο φυλαγμένη από δικαιώματα αρχείου και όχι από κρυπτογράφηση.

Κάθε μοντέλο είναι λογικό στο σωστό πλαίσιο. Το λάθος είναι να τα αναμειγνύεις, και έτσι ένας φορητός καταλήγει με ένα μυστικό σε δύο σημεία και χωρίς σαφή απάντηση για το ποιο είναι το έγκυρο. Γράψτε ποιο μοντέλο χρησιμοποιεί ένα προφίλ. Μία γραμμή στο εγχειρίδιο της ομάδας γλιτώνει τον επόμενο από το να σκαρφιστεί ένα τέταρτο σημείο αναζήτησης.

Διαβάστε την τρέχουσα κατάσταση πριν την αλλάξετε

Κοιτάξτε το προφίλ και την κατάσταση του μυστικού ως ο χρήστης που διαχειρίζεται τη σύνδεση. Η δεύτερη εντολή είναι αυτή που σας λέει αν η τιμή είναι πραγματικά αναγνώσιμη.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Ένα αρχείο κλειδιού σε αυτόν τον κατάλογο ανήκει συνήθως στο root με λειτουργία 600. Αυτό κρατά έξω τους απλούς χρήστες και δεν κρατά έξω το root, κάτι που μετρά όταν ο ίδιος υπολογιστής μοιράζεται ή όταν ένα αντίγραφο ασφαλείας τρέχει ως root.

Τα δικαιώματα αρχείου είναι όριο, όχι κρυπτογράφηση. Όποιος μπορεί να διαβάσει το αρχείο ως root έχει τον κωδικό σε καθαρό κείμενο. Είναι αποδεκτή ανταλλαγή για διακομιστή χωρίς επίβλεψη και κακή για κοινόχρηστο σταθμό εργασίας. Το να το γράψετε μία φορά αποτρέπει μια μακρά διαφωνία για το αν η τιμή προστατεύεται.

Τι κάνει κάθε τιμή σημαίας

Το μυστικό VPN φέρει μια ιδιότητα flags, και οι τιμές δεν είναι προφανείς μόνο από τους αριθμούς.

Η πραγματική συμπεριφορά εξαρτάται και από το πρόσθετο και από το αν τρέχει πράκτορας, οπότε θεωρήστε τον πίνακα ως το συμβόλαιο και την παρατηρούμενη συμπεριφορά ως αυτό που επαληθεύετε. Μια τιμή που λειτουργεί σε έναν υπολογιστή γραφείου μπορεί να συμπεριφέρεται διαφορετικά σε διακομιστή χωρίς συνεδρία. Σε αυτό το κενό ζουν τα περισσότερα μπερδεμένα δελτία.

Ορίστε την ιδιότητα ρητά αντί να διαγράψετε μια γραμμή και να ελπίζετε. Μια απούσα σημαία δεν είναι πολιτική, και η επόμενη ενημέρωση πακέτου μπορεί να τη συμπληρώσει με κάτι που δεν σκοπεύατε.

Ταιριάξτε το μοντέλο με το πότε ξεκινά η σύνδεση

Αν η σύνδεση ξεκινά μόνο όσο ένας χρήστης είναι συνδεδεμένος, η ιδιοκτησία πράκτορα ταιριάζει καλά και κρατά το μυστικό έξω από το αρχείο. Αν ξεκινά κατά την εκκίνηση, πριν υπάρξει οποιαδήποτε συνεδρία, ένας πράκτορας δεν μπορεί να σας βοηθήσει.

Αυτή είναι όλη η απόφαση για τους περισσότερους υπολογιστές. Εξηγεί επίσης μια κατηγορία μπερδεμένων αναφορών όπου η σύνδεση λειτουργεί διαδραστικά και αποτυγχάνει μετά από επανεκκίνηση. Η σημαία δεν άλλαξε ποτέ· το πλαίσιο άλλαξε.

Για την περίπτωση χωρίς επίβλεψη, η πρακτική απάντηση είναι ένα περιορισμένο αρχείο που ανήκει στο root ή μια εγκεκριμένη πηγή διαπιστευτηρίων. Κρατήστε το έξω από το προφίλ σύνδεσης αν αυτό εξαχθεί ποτέ ή αντιγραφεί σε άλλον υπολογιστή.

Αν η τιμή ήταν ήδη ορατή, αλλάξτε την

Η αλλαγή μιας σημαίας αφήνει τον ίδιο τον κωδικό ανέπαφο. Μια τιμή που εμφανίστηκε σε στιγμιότυπο οθόνης, στο ιστορικό του shell, σε ένα πακέτο που στάλθηκε στην υποστήριξη ή σε ένα αρχείο που μπορούσαν να ανοίξουν άλλοι χρήστες πρέπει να θεωρείται εκτεθειμένη.

Αλλάξτε την στον διακομιστή, μετά διορθώστε τον πελάτη και τερματίστε κάθε συνεδρία που πιστοποιήθηκε με την παλιά. Η διαγραφή της τοπικής σύνδεσης δεν ανακαλεί τίποτα στην άλλη πλευρά, και αυτό είναι το μέρος που οι άνθρωποι χάνουν.

Μετά σταματήστε να βάζετε τον κωδικό στη γραμμή εντολών. Καταλήγει στο ιστορικό του shell και μπορεί να εμφανιστεί σε λίστα διεργασιών· χρησιμοποιήστε τη διαδραστική προτροπή ή τον πράκτορα.

Επαληθεύστε επανασυνδέοντας

Επαναλάβετε την εντολή που έδειξε το μυστικό και επιβεβαιώστε ότι το πεδίο δεν εκτυπώνεται πλέον. Μετά αποσυνδεθείτε και επανασυνδεθείτε, και επανεκκινήστε αν η σύνδεση ξεκινά αυτόματα, επειδή η ενδιαφέρουσα αστοχία εμφανίζεται μόνο όταν αλλάζει το πλαίσιο της συνεδρίας.

Αν το μυστικό εξακολουθεί να εμφανίζεται, το παρέχει άλλο προφίλ ή άλλος πράκτορας. Ελέγξτε την ενεργή σύνδεση και το κλειδοθήκη αντί να διαγράφετε αρχεία μέχρι να μετακινηθεί το σύμπτωμα.