Το OpenVPN GUI αποθήκευσε τον κωδικό μου για τα Windows: πού βρίσκεται

Το παράθυρο σύνδεσης προσφέρει ένα πλαίσιο ελέγχου για να θυμάται τη σύνδεση, και όταν το επιλέξετε τα στοιχεία του λογαριασμού φεύγουν από το μυαλό του χρήστη και περνούν στη μηχανή. Η διεπαφή δεν λέει ποτέ πού. Στα Windows οι υποψήφιοι είναι η περιοχή μητρώου του τρέχοντος χρήστη, ένα αρχείο προφίλ που φέρει ήδη τη σύνδεση και ό,τι κάνει ένα σενάριο αυτοματισμού. Κάθε θέση έχει διαφορετικό αναγνώστη, διαφορετικό τρόπο αποτυχίας και διαφορετικό καθαρισμό, οπότε το χρήσιμο ερώτημα είναι ποια διεργασία μπορεί να ανακτήσει το μυστικό και για πόσο. Ακολουθήστε το πλαίσιο ελέγχου προς τα έξω από το παράθυρο και μετά αποφασίστε τι εκθέτει πραγματικά ένας χαμένος φορητός.

Ξεκινήστε από το πλαίσιο ελέγχου στο παράθυρο σύνδεσης

Οι αποθηκευμένες τιμές φυλάσσονται ανά προφίλ και ανά λογαριασμό Windows, στην κυψέλη του χρήστη και όχι σε κοινόχρηστο χώρο της μηχανής. Γι' αυτό ένας δεύτερος χρήστης στον ίδιο υπολογιστή δεν βλέπει αποθηκευμένη σύνδεση και γι' αυτό η επανεγκατάσταση του πελάτη δεν σβήνει απαραίτητα την αποθηκευμένη καταχώριση.

Το ίδιο το αρχείο προφίλ κρατά τον διακομιστή, τη θύρα και τις ρυθμίσεις αλλά κανένα μυστικό, γι' αυτό οι άνθρωποι εξετάζουν πρώτα το λάθος τεχνούργημα. Η διαγραφή του προφίλ αφαιρεί επομένως τη σύνδεση και αφήνει πίσω τα διαπιστευτήρια. Αυτή είναι η συνηθέστερη έκπληξη κατά τον καθαρισμό. Αφαιρέστε και τα δύο τεχνουργήματα, όχι ένα.

Τι αποκαλύπτει η τιμή του μητρώου

Το όνομα του λογαριασμού βρίσκεται σε αναγνώσιμο κείμενο, οπότε οτιδήποτε εκτελείται ως αυτός ο χρήστης μπορεί να το αποκωδικοποιήσει χωρίς ειδική κλήση. Ο κωδικός είναι διαφορετικός: είναι σφραγισμένος με Windows DPAPI, δεσμευμένος στον λογαριασμό και, ανάλογα με τις σημαίες, στη συγκεκριμένη μηχανή. Επομένως η μεταφορά της σφραγισμένης δέσμης σε άλλον υπολογιστή και η επανάληψή της δεν παράγει χρησιμοποιήσιμο μυστικό.

Η καταγραφή των τιμών απαντά στο επιχειρησιακό ερώτημα χωρίς να αγγίζει το ίδιο το μυστικό. Δεν χρειάζεται αποκρυπτογράφηση για να επιβεβαιωθεί ότι υπάρχει καταχώριση. Η λίστα χρησιμεύει και ως αρχείο πριν και μετά για τον καθαρισμό.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Δύο όρια αξίζει να ειπωθούν ευθέως. Μια διεργασία μέσα στην ίδια συνδεδεμένη συνεδρία μπορεί να καλέσει την ίδια ρουτίνα άρσης προστασίας που χρησιμοποιεί ο πελάτης, οπότε η σφράγιση είναι προστασία σε ηρεμία και όχι απέναντι σε παραβιασμένη επιφάνεια εργασίας. Και χωρίς πλήρη κρυπτογράφηση δίσκου, η σφραγισμένη τιμή είναι τόσο ιδιωτική όσο ο δίσκος.

Όταν το αρχείο προφίλ περιέχει ήδη τη σύνδεση

Ορισμένες πύλες δίνουν μια διαμόρφωση με το όνομα λογαριασμού και τον κωδικό γραμμένα μέσα, οπότε ο πελάτης συνδέεται σιωπηλά. Σε εκείνο το σημείο το αρχείο είναι λειτουργικό διαπιστευτήριο, και κάθε αντίγραφό του είναι άλλο ένα κλειδί για την ίδια πόρτα.

Τέτοια αρχεία καταλήγουν σε αντίγραφα ασφαλείας, νήματα συνομιλίας και συγχρονισμένους φακέλους, και κανένα από αυτά τα αντίγραφα δεν σταματά να λειτουργεί όταν διαγραφεί το πρωτότυπο. Η επεξεργασία του τοπικού αρχείου δεν αλλάζει τίποτα στα άλλα. Η ανάκληση πρόσβασης σημαίνει αλλαγή του κωδικού στον διακομιστή, και μάλιστα γρήγορα. Ο καθαρισμός σε έναν φορητό είναι ξεχωριστή, μικρότερη εργασία.

Όπου μια προτροπή είναι αποδεκτή, προτιμήστε την και χρησιμοποιήστε τα στοιχεία ελέγχου προσωρινής μνήμης του πελάτη. Αν ένα προσυμπληρωμένο προφίλ είναι πραγματικά απαραίτητο, κρατήστε το έξω από συγχρονισμένους φακέλους και αφαιρέστε το όταν τελειώσει η εργασία.

Ο αυτοματισμός μετακινεί το μυστικό αλλού

Τα σενάρια εισάγουν δύο ακόμη κανάλια: ορίσματα διεργασίας και συνθετικά πατήματα πλήκτρων. Ένα αρχείο που αναφέρεται σε γραμμή εντολών είναι ορατό σε ό,τι μπορεί να διαβάσει τα ορίσματα της διεργασίας ή τα δικαιώματα του αρχείου, και ένας κωδικός που πληκτρολογείται από εργαλείο πηγαίνει στο παράθυρο που έχει αυτή τη στιγμή την εστίαση. Ένα δημοσιευμένο παράδειγμα πληκτρολογεί τον κωδικό της επιφάνειας εργασίας με αυτόν τον τρόπο πριν ξεκινήσει τον πελάτη. Ένας αποθηκευμένος σπόρος κωδικού μίας χρήσης αξίζει την ίδια φροντίδα, γιατί μπορεί να παράγει κάθε μελλοντικό κωδικό και επιβιώνει από μία μόνο σύνδεση.

Το καλύτερο μοτίβο αποθηκεύει το μυστικό εκεί όπου μόνο ο λογαριασμός υπηρεσίας μπορεί να το διαβάσει, βασίζεται στις τεκμηριωμένες επιλογές επανάληψης και πηγής διαπιστευτηρίων του πελάτη και αποφεύγει την έγχυτη πληκτρολόγηση στις προτροπές προνομίων. Αν το σενάριο χρειάζεται τον κωδικό της επιφάνειας εργασίας για αναβάθμιση, αυτό είναι ζήτημα σχεδιασμού προνομίων και όχι VPN.

Καθαρισμός μετά από χαμένη συσκευή

Ανακαλέστε ή απενεργοποιήστε τον λογαριασμό στον διακομιστή πριν από οτιδήποτε άλλο, γιατί η τοπική διαγραφή δεν μπορεί να ακυρώσει ένα αντίγραφο που κάποιος έχει ήδη. Στη συνέχεια σβήστε τις αποθηκευμένες τιμές του μητρώου, αφαιρέστε το προφίλ και τυχόν αρχεία διαπιστευτηρίων, και αναζητήστε επικολλημένους κωδικούς στο ιστορικό του κελύφους και στους καταλόγους σεναρίων.

Σημειώστε τι αφαιρέθηκε και πότε έληξε η πρόσβαση. Αυτό το ζεύγος απαντά στο μόνο ερώτημα που θέτει μια ανασκόπηση περιστατικού: αν κάποιο αντίγραφο των διαπιστευτηρίων λειτουργούσε ακόμη αφού έφυγε η συσκευή.