auth-nocache kun akreditila dosiero: ĉu helpas aŭ malhelpas?

OpenVPN presas ĉe starto averton, kiu proponas auth-nocache, kaj la tentanta respondo estas aldoni la opcion kaj rigardi la linion malaperi. Tiu konsilo supozas interagan ensaluton. Post kiam la uzantnomo kaj pasvorto vivas en dosiero, la komparo ŝanĝiĝas: la opcio ĉesas protekti la daŭran kopion, kaj ĉe kliento, kiu forlasas privilegiojn, ĝi povas poste rompi la reintertraktadon. Du stokaj modeloj indas teni aparte antaŭ ol vi redakti profilon.

Du manieroj respondi la akreditilan peton

La unua modelo estas homo tajpanta akreditilojn en terminalon, aŭ administra interfaco tenanta ilin por la sesio. OpenVPN konservas tiun kopion por povi respondi la sekvan reintertraktadon sen demandi denove, kaj ĝuste pri tio temas la averto. Nenio surdiske estas envolvita, do la sola protektinda afero estas la procezo tenanta la valoron. Fermu la klienton kaj la kopio foriĝas kun ĝi.

La dua modelo estas auth-user-pass indikanta dosieron, kie la dosiero estas la konservejo kaj la kliento legas ĝin kiam valoro necesas. La elmeto grava ĉi tie ne estas proceza memoro sed la permesoj kaj posedo de tiu dosiero. La starta averto venas de la direktivoj en la agordo, ne de inspektado kiel vi liveras la pasvorton, do ĝi aperas en ambaŭ modeloj kaj montras al neniu.

La resto de tiu komparo sekvas el tiu divido: memortraktado por unu modelo, dosiertraktado kaj proceza identeco por la alia.

Kion auth-nocache fakte forĵetas

Ĉe interaga ensaluto, --auth-nocache forigas la konservitan kopion el la memoro post kiam ĝi estis uzita. La kosto estas nova peto ĉe ĉiu reintertraktada intervalo, ĉar la sekva raŭndo ne povas reuzi tion, kio estis forĵetita.

Ĉe dosierbazita ensaluto la kliento povas relegi la dosieron, do la forĵeto plejparte nevideblas. Ĝi videblas en la unu loko, kie homoj ne atendas ĝin: post kiam la demono forlasas privilegiojn, se la akreditila dosiero ne estas legebla de la konto, sub kiu ĝi nun funkcias.

Aldonu la opcion ĉar vi komprenas tiun interŝanĝon, ne ĉar aperis averto. Opcio aldonita por silentigi protokolon estas opcio, kies efikon neniu mezuris.

Kie la dosierbazita vojo rompiĝas

Kliento, kiu startas kiel root por malfermi la tunelan aparaton kaj poste ŝaltas al user kaj group , legas la akreditilan dosieron dufoje: unufoje antaŭ la ŝalto, unufoje ĉe la sekva reintertraktado. Se la dosiero havas modon 600 kaj posedas ĝin root, la dua legado malsukcesas, kaj la malsukceso aperas horon poste kiel aŭtentiga eraro, kiu aspektas kiel servila problemo. Kontrolu la klientan protokolon ĉirkaŭ la reintertraktada intervalo, poste kontrolu la konton kaj la dosieron kune.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Ambaŭ linioj gravas. La unua diras al vi, kiu povas legi la dosieron, la dua diras, kiu la kuranta demono fakte estas, kaj malkongruo inter ili klarigas malsukceson, kiun neniu kvanto da retajpado de la pasvorto riparos.

La praktikaj riparoj ne estas glamoraj: movu la dosieron al dosierujo kaj posedanto, kiujn la konto de la demono povas legi, aŭ konservu la privilegian legadon kaj konfirmu, ke via kliento legas nur unufoje. Ne solvu ĝin farante la dosieron legebla por ĉiuj.

La kazo, kiu vere volas la opcion

Ensaluto portanta unufojan kodon volas auth-nocache pro alia kialo. Unufoja kodo estas elspezita de la unua aŭtentigo, do kaŝmemora kopio estas senutila ĉe la sekva reintertraktado, kaj malnova valoro eĉ povus esti reludita.

Tio estas demando pri la akreditila tipo, ne pri kie ĝi estas stokita. Statika pasvorto en protektita dosiero havas la kontraŭan profilon: ĝi devas esti legebla ĉe ĉiu reintertraktado, kaj la protekto, kiun vi bezonas, estas sur la dosiero.

Tenu tiujn du kialojn aparte en la profilaj komentoj, ĉar alie la sekva administranto supozos, ke la opcio estas tie pro la kialo, kiun li mem elektus.

La komparo en unu decido

Elektu la interagan modelon kiam homo ĉeestas kaj freŝeco gravas, kaj akceptu la ripetan peton kiel ĝian koston. Elektu la dosieran modelon kiam la kliento funkcias sen observado, kaj elspezu la penon por posedo, modo kaj forlaso de privilegioj.

Neniu modelo faras stokitan pasvorton sekura per si mem, kaj neniu faras la startan averton signifoplena.

Se la averto estas la sola kialo, kial vi malfermis la profilon, registru la decidon anstataŭ neklarigitan opcion: akreditiloj venas el dosiero legebla de la konto de la demono, reintertraktado estis vidita sukcesa, kaj la manlibro de OpenVPN 2.6 sekcio pri reintertraktado estis legita antaŭ ŝanĝi ĝian intervalon. Tiu noto postvivas ĉiun unuopan flagon.