OpenVPN GUI konservis mian Windows-pasvorton: kie ĝi troviĝas

La konekta dialogo proponas markobutonon por memori la ensaluton, kaj markinte ĝin la kontaj detaloj forlasas la kapon de la uzanto kaj eniras la maŝinon. La interfaco neniam diras kie. En Windows la kandidatoj estas la registra areo de la nuna uzanto, profil-dosiero kiu jam enhavas la ensaluton, kaj tio, kion faras aŭtomatiga skripto. Ĉiu loko havas malsaman leganton, malsaman fiaskmanieron kaj malsaman purigadon, do la utila demando estas, kiu procezo povas reakiri la sekreton kaj por kiom longe. Sekvu la markobutonon eksteren de la dialogo, poste decidu, kion efektive malkaŝas perdita tekkomputilo.

Komencu per la markobutono en la konekta dialogo

Memoritaj valoroj konserviĝas laŭ profilo kaj laŭ Windows-konto, en la uzula abelujo kaj ne en komuna maŝina stokejo. Tial dua uzanto sur la sama komputilo vidas neniun konservitan ensaluton, kaj tial reinstalado de la kliento ne nepre forviŝas la konservitan rikordon.

La profil-dosiero mem konservas la servilon, la pordon kaj la agordojn sed neniun sekreton, tial homoj unue ekzamenas la malĝustan artefakton. Forigi la profilon do forigas la konekton kaj lasas la akreditilon malantaŭe. Tio estas la plej ofta surprizo dum purigado. Forigu ambaŭ artefaktojn, ne unu.

Kion malkaŝas la registra valoro

La konta nomo staras en legebla teksto, do io ajn ruligata kiel tiu uzanto povas malkodi ĝin sen speciala voko. La pasvorto estas alia: ĝi estas sigelita per Windows DPAPI, ligita al la konto kaj, laŭ la flagoj, al la konkreta maŝino. Translokigi la sigelitan blokon al alia komputilo kaj reludi ĝin do ne donas uzeblan sekreton.

Listigi la valorojn respondas la operacian demandon sen tuŝi la sekreton mem. Nenio devas esti malĉifrita por konfirmi, ke rikordo ekzistas. La listo ankaŭ servas kiel antaŭa kaj posta registro por purigado.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Du limoj meritas esti dirataj rekte. Procezo ene de la sama ensalutinta seanco povas voki la saman malŝirmigan rutinon, kiun la kliento uzas, do sigelado estas protekto dum ripozo, ne kontraŭ kompromitita labortablo. Kaj sen plena diskĉifrado, la sigelita valoro estas nur tiom privata kiom la disko.

Kiam la profil-dosiero jam enhavas la ensaluton

Kelkaj portaloj donas agordon kun la konta nomo kaj pasvorto ene skribitaj, do la kliento konektiĝas silente. En tiu punkto la dosiero estas funkcianta akreditilo, kaj ĉiu kopio de ĝi estas plia ŝlosilo al la sama pordo.

Tiaj dosieroj finiĝas en sekurkopioj, babilfadenoj kaj sinkronigitaj dosierujoj, kaj neniu el tiuj kopioj ĉesas funkcii kiam la originalo estas forigita. Redakti la lokan dosieron ŝanĝas nenion en la aliaj. Retiri aliron signifas ŝanĝi la pasvorton sur la servilo, kaj fari tion rapide. Purigado sur unu tekkomputilo estas aparta, pli malgranda tasko.

Kie prompto estas akceptebla, preferu ĝin kaj uzu la kaŝmemorajn regilojn de la kliento. Se antaŭplenigita profilo vere necesas, tenu ĝin ekster sinkronigitaj dosierujoj kaj forigu ĝin kiam la laboro finiĝas.

Aŭtomatigo movas la sekreton aliloken

Skriptoj enkondukas du pliajn kanalojn: procesargumentoj kaj sintezaj klavopremoj. Dosiero nomita en komandlinio estas videbla al ĉio, kio povas legi procesargumentojn aŭ la permesojn de la dosiero, kaj pasvorto tajpita de ilo iras al tiu fenestro, kiu nun havas la fokuson. Unu publikigita ekzemplo tajpas la pasvorton de la labortablo tiel antaŭ ol lanĉi la klienton. Konservita semo de unufoja pasvorto meritas la saman zorgon, ĉar ĝi povas generi ĉiun estontan kodon kaj postvivas unu ensaluton.

La pli bona ŝablono konservas la sekreton tie, kie nur la serva konto povas legi ĝin, fidas la dokumentitajn opciojn de la kliento pri reklopodo kaj akreditila fonto, kaj evitas enĵetitan tajpadon ĉe privilegiaj promptoj. Se la skripto bezonas la pasvorton de la labortablo por altigo, tio estas demando de privilegia dezajno, ne de VPN.

Purigado post perdita aparato

Retiru aŭ malŝaltu la konton sur la servilo antaŭ ĉio alia, ĉar loka forigo ne povas malvalidigi kopion, kiun iu jam havas. Poste viŝu la memoritajn registrajn valorojn, forigu la profilon kaj ajnajn akreditilajn dosierojn, kaj traserĉu la ŝelhistrion kaj skriptajn dosierujojn por algluitaj pasvortoj.

Notu, kio estis forigita kaj kiam la aliro finiĝis. Tiu paro respondas la solan demandon, kiun revizio de okazaĵo starigas: ĉu iu kopio de la akreditilo ankoraŭ funkciis post kiam la aparato foriris.