Takistage NetworkManageril salvestatud VPN-parooli näitamast
Küsige iga kord, andke see võtmehoidjale või hoidke faili, millele pääseb ligi ainult root. Igal valikul on erinev avatus ja parooli lipp peab sellega sobima.
NetworkManager suudab hoida VPN-parooli, et ühendus tõuseks ilma, et keegi selle sisestaks, ja suudab seda väärtust uuesti näidata redaktori või nmcli --show-secrets kaudu. Saadaval on kolm omandimudelit ja kuvamisviis on vaid sümptom sellest, millise valisite. Valige esmalt mudel ja seejärel seadke sellele vastav lipp, selle asemel et peita väli kohatäitega, mis järgmise inimese segadusse ajab.
Kolm omandimudelit
Esimene mudel küsib iga kord. Midagi ei salvestata, saladus eksisteerib vaid aktiveerimise ajal ja igaüks, kes ühenduse käivitab, peab parooli teadma. See on kõige ebamugavam valik ja kõige kergemini kaitstav.
Teine annab saladuse kasutajale kuuluvale võtmehoidjale. Agent avatakse sessiooni alguses ja pakub väärtust nõudmisel, mis hoiab selle ühendusfailist väljas, aga seob ühenduse selle kasutaja sessiooniga. Sellest tuleneb kaks tingimust: agent peab töötama ja olema avatud.
Kolmas salvestab kaitstud mandaadi süsteemiühenduse jaoks. See elab üle taaskäivitused ja töötab enne, kui keegi sisse logib, ning vastutasuks asub väärtus kettal, kaitstuna failiõiguste, mitte krüptimisega.
Iga mudel on õiges kontekstis mõistlik. Viga on neid segada, ja nii jõuab sülearvuti saladuseni kahes kohas ning ilma selge vastuseta, milline neist kehtib. Kirjutage üles, millist mudelit profiil kasutab. Üks rida meeskonna käsiraamatus säästab järgmist inimest neljanda otsimiskoha leiutamisest.
Lugege praegust olekut enne selle muutmist
Vaadake profiili ja saladuse olekut ühendust haldava kasutajana. Teine käsk on see, mis ütleb, kas väärtus on tõesti loetav.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionSelles kataloogis olev võtmefail kuulub tavaliselt rootile režiimiga 600. See hoiab tavalised kasutajad väljas ega hoia rooti väljas, mis loeb siis, kui sama masinat jagatakse või kui varukoopia töötab rootina.
Failiõigused on piir, mitte krüptimine. Igaüks, kes saab faili rootina lugeda, näeb parooli lihttekstina. See on vastuvõetav vahetus järelevalveta serveri jaoks ja halb jagatud töökoha jaoks. Üks kord üleskirjutamine hoiab ära pika vaidluse selle üle, kas väärtus on kaitstud.
Mida iga lipuväärtus teeb
VPN-i saladus kannab omadust flags ja väärtused ei ole ainult numbritest aimatavad.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Tegelik käitumine sõltub ka pistikprogrammist ja sellest, kas agent töötab, seega käsitlege tabelit lepinguna ja vaadeldud käitumist kontrollitavana. Ühel töölaual toimiv väärtus võib ilma sessioonita serveris käituda teisiti. Just selles lõhes elab enamik segadust tekitavaid pileteid.
Määrake omadus selgesõnaliselt, selle asemel et rida kustutada ja loota. Puuduv lipp ei ole poliitika ja järgmine paketiuuendus võib selle täita millegagi, mida te ei kavatsenud.
Sobitage mudel sellega, millal ühendus algab
Kui ühendus algab ainult siis, kui kasutaja on sisse logitud, sobib agendi omand hästi ja hoiab saladuse failist väljas. Kui see algab käivitamisel, enne mis tahes sessiooni, ei saa agent teid aidata.
See ongi enamiku masinate puhul kogu otsus. See selgitab ka segadust tekitavate raportite klassi, kus ühendus töötab interaktiivselt ja ebaõnnestub pärast taaskäivitust. Lipp ei muutunud kunagi; kontekst muutus.
Järelevalveta juhtumi puhul on praktiline vastus piiratud rootile kuuluv fail või heakskiidetud mandaadiallikas. Hoidke see ühendusprofiilist väljas, kui seda profiili kunagi eksporditakse või teise masinasse kopeeritakse.
Kui väärtus oli juba nähtav, vahetage see välja
Lipu muutmine jätab parooli enda puutumata. Väärtust, mis ilmus ekraanipildil, shelli ajaloos, tugiteenusele saadetud paketis või failis, mille teised kasutajad võisid avada, tuleb pidada avalikustatuks.
Muutke seda serveris, seejärel parandage klient ja lõpetage iga sessioon, mis autentis vana parooliga. Kohaliku ühenduse kustutamine ei tühista teisel pool midagi ja just selle osa jätavad inimesed kahe silma vahele.
Seejärel lõpetage parooli käsureale panemine. See satub shelli ajalukku ja võib protsessiloendis ilmuda; kasutage interaktiivset viipa või agenti.
Kontrollige uuesti ühendudes
Korrake käsku, mis saladuse näitas, ja veenduge, et välja enam ei trükita. Seejärel katkestage ja ühendage uuesti, ning taaskäivitage, kui ühendus algab automaatselt, sest huvitav tõrge ilmub alles siis, kui sessiooni kontekst muutub.
Kui saladus ilmub endiselt, edastab selle mõni teine profiil või agent. Kontrollige aktiivset ühendust ja võtmehoidjat, selle asemel et faile kustutada, kuni sümptom liigub.