auth-nocache koos mandaadifailiga: kas aitab või kahjustab?

OpenVPN prindib käivitamisel hoiatuse, mis soovitab auth-nocache, ja ahvatlev vastus on valik lisada ning vaadata, kuidas rida kaob. See nõuanne eeldab interaktiivset sisselogimist. Kui kasutajanimi ja parool elavad failis, muutub võrdlus: valik lakkab kaitsmast püsivat koopiat, ja klientrakenduses, mis loobub õigustest, võib see hiljem uuesti läbirääkimise katki teha. Kaks salvestusmudelit tasub enne profiili muutmist lahus hoida.

Kaks viisi mandaadiküsimusele vastata

Esimene mudel on inimene, kes trükib mandaadid terminali, või haldusliides, mis hoiab neid sessiooni jaoks. OpenVPN hoiab seda koopiat, et vastata järgmisele uuesti läbirääkimisele ilma uuesti küsimata, ja täpselt sellest hoiatus räägibki. Kettal pole midagi kaasatud, seega ainus kaitstav asi on protsess, mis väärtust hoiab. Sulgege klient ja koopia kaob koos sellega.

Teine mudel on auth-user-pass , mis osutab failile, kus fail on hoiukoht ja klient loeb seda, kui väärtust vaja on. Oluline risk ei ole siin protsessi mälu, vaid selle faili õigused ja omand. Käivitushoiatus tuleb konfiguratsiooni direktiividest, mitte kontrollist, kuidas te parooli esitate, seega ilmub see mõlemas mudelis ega osuta kummalelegi.

Ülejäänu sellest võrdlusest tuleneb sellest jaotusest: mälukäsitlus ühe mudeli jaoks, failikäsitlus ja protsessi identiteet teise jaoks.

Mida auth-nocache tegelikult välja heidab

Interaktiivse sisselogimise korral --auth-nocache eemaldab salvestatud koopia mälust pärast selle kasutamist. Hind on uus küsimus igal uuesti läbirääkimise intervallil, sest järgmine ring ei saa kasutada seda, mis välja heideti.

Failipõhise sisselogimise korral saab klient faili uuesti lugeda, seega on väljaheitmine enamasti nähtamatu. Nähtavaks muutub see ühes kohas, kus inimesed seda ei oota: pärast seda, kui deemon loobub õigustest, kui mandaadifail ei ole loetav kontole, mille all see nüüd töötab.

Lisage valik sellepärast, et mõistate seda vahetust, mitte sellepärast, et ilmus hoiatus. Valik, mis lisatakse logi vaiksemaks muutmiseks, on valik, mille mõju ei ole keegi mõõtnud.

Kus failipõhine tee katkeb

Klient, mis käivitub rootina, et avada tunneliseade, ja lülitub seejärel üle user ja group peale, loeb mandaadifaili kaks korda: üks kord enne lülitust, üks kord järgneval uuesti läbirääkimisel. Kui faili režiim on 600 ja omanik on root, ebaõnnestub teine lugemine, ja tõrge ilmub tund hiljem autentimisveana, mis näeb välja nagu serveri probleem. Kontrollige kliendi logi uuesti läbirääkimise intervalli ümber ja seejärel kontrollige kontot ja faili koos.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Mõlemad read on olulised. Esimene ütleb, kes saab faili lugeda, teine ütleb, kes on töötav deemon tegelikult, ja nendevaheline lahknevus selgitab tõrget, mida ükski parooli uuesti trükkimine ei paranda.

Praktilised parandused on ilmetud: liigutage fail kataloogi ja omaniku juurde, keda deemonis konto saab lugeda, või jätke privilegeeritud lugemine alles ja kinnitage, et teie klient loeb ainult üks kord. Ärge lahendage seda faili kõigile loetavaks tegemisega.

Juhtum, mis valikut tõesti tahab

Ühekordset koodi kandev sisselogimine tahab auth-nocache teisel põhjusel. Ühekordne kood kulub esimese autentimisega ära, seega on vahemällu salvestatud koopia järgmisel uuesti läbirääkimisel kasutu ja aegunud väärtust võidakse isegi uuesti esitada.

See on küsimus mandaadi tüübist, mitte sellest, kus seda hoitakse. Kaitstud failis olev staatiline parool on vastupidise profiiliga: see peab olema loetav igal uuesti läbirääkimisel, ja vajalik kaitse on failil.

Hoidke need kaks põhjust profiili kommentaarides lahus, muidu eeldab järgmine administraator, et valik on seal põhjusel, mille tema oleks valinud.

Võrdlus ühes otsuses

Valige interaktiivne mudel, kui inimene on kohal ja värskus loeb, ning võtke korduv küsimus selle hinnaks. Valige failimudel, kui klient töötab järelevalveta, ja kulutage pingutus omandile, režiimile ja õigustest loobumisele.

Kumbki mudel ei tee salvestatud parooli iseenesest turvaliseks ega tee käivitushoiatust tähenduslikuks.

Kui hoiatus on ainus põhjus, miks profiili avasite, kirjutage otsus üles, mitte seletamata valik: mandaadid tulevad failist, mida deemonis konto saab lugeda, uuesti läbirääkimine on nähtud õnnestuvat, ja OpenVPN 2.6 käsiraamatu uuesti läbirääkimise jaotis loeti enne selle intervalli muutmist. See märge elab üle iga üksiku lipu.