OpenVPN GUI salvestas minu Windowsi parooli: kus see asub

Ühenduse dialoog pakub märkeruutu sisselogimise meeldejätmiseks ja selle märgistamisel liiguvad kontoandmed kasutaja peast masinasse. Liides ei ütle kunagi, kuhu. Windowsis on kandidaatideks praeguse kasutaja registripiirkond, profiilifail, mis juba sisaldab sisselogimist, ja see, mida teeb automatiseerimisskript. Igal asukohal on erinev lugeja, erinev rikkerežiim ja erinev puhastamine, seega kasulik küsimus on, milline protsess suudab saladuse taastada ja kui kauaks. Jälgi märkeruutu dialoogist väljapoole ja otsusta siis, mida kadunud sülearvuti tegelikult paljastab.

Alusta ühenduse dialoogi märkeruudust

Meeldejäetud väärtusi hoitakse profiili ja Windowsi konto kaupa kasutaja mesilas, mitte masina ühises hoidlas. Seetõttu ei näe teine kasutaja samas arvutis ühtegi salvestatud sisselogimist ja seetõttu ei pruugi kliendi uuesti paigaldamine salvestatud kirjet kustutada.

Profiilifail ise hoiab serverit, porti ja seadeid, kuid mitte saladust, mistõttu inimesed uurivad kõigepealt vale artefakti. Profiili kustutamine eemaldab seega ühenduse ja jätab mandaadi maha. See on puhastamise ajal kõige tavalisem üllatus. Eemalda mõlemad artefaktid, mitte üks.

Mida registri väärtus paljastab

Konto nimi on loetavas tekstis, nii et kõik, mis töötab selle kasutajana, saab selle ilma erikutsuta dekodeerida. Parool on teistsugune: see on pitseeritud Windows DPAPI-ga, seotud kontoga ja olenevalt lippudest konkreetse masinaga. Pitseeritud bloki viimine teise arvutisse ja selle uuesti esitamine ei anna seega kasutatavat saladust.

Väärtuste loetlemine vastab operatiivsele küsimusele saladust ennast puutumata. Kirje olemasolu kinnitamiseks ei pea midagi dekrüpteerima. Loend toimib ka enne-ja-pärast kirjena puhastamise jaoks.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Kaks piiri väärib otse väljaütlemist. Sama sisselogitud sessiooni protsess võib kutsuda sama kaitsetõrje rutiini, mida klient kasutab, seega pitseerimine on kaitse puhkeolekus, mitte kompromiteeritud töölaua vastu. Ja ilma täieliku kettakrüpteeringuta on pitseeritud väärtus sama privaatne kui ketas.

Kui profiilifail juba sisaldab sisselogimist

Mõned portaalipakkujad annavad konfiguratsiooni, kuhu on konto nimi ja parool sisse kirjutatud, nii et klient ühendub vaikselt. Sel hetkel on fail töötav mandaat ja iga selle koopia on veel üks võti sama ukse juurde.

Sellised failid satuvad varukoopiatesse, vestluslõimedesse ja sünkroonitud kaustadesse ning ükski neist koopiatest ei lõpeta töötamist, kui originaal kustutatakse. Kohaliku faili muutmine ei muuda teistel midagi. Juurdepääsu tühistamine tähendab parooli muutmist serveris ja seda tuleb teha viivitamata. Puhastamine ühes sülearvutis on eraldi, väiksem ülesanne.

Kui küsimus on vastuvõetav, eelista seda ja kasuta kliendi vahemälu juhtelemente. Kui eeltäidetud profiil on tõesti vajalik, hoia seda sünkroonitud kaustadest eemal ja eemalda see, kui töö lõpeb.

Automatiseerimine liigutab saladuse mujale

Skriptid toovad sisse veel kaks kanalit: protsessi argumendid ja sünteetilised klahvivajutused. Käsureal nimetatud fail on nähtav kõigele, mis suudab lugeda protsessi argumente või faili õigusi, ja tööriista trükitud parool läheb aknasse, millel parasjagu fookus on. Üks avaldatud näide trükib töölaua parooli sel viisil enne kliendi käivitamist. Salvestatud ühekordse parooli seeme väärib sama hoolt, sest see võib genereerida iga tulevase koodi ja elab üle ühe sisselogimise.

Parem muster hoiab saladust seal, kus seda saab lugeda ainult teenusekonto, toetub kliendi dokumenteeritud uuestiproovimise ja mandaadi allika valikutele ning väldib süstitud trükkimist õiguste küsimuste puhul. Kui skript vajab õiguste tõstmiseks töölaua parooli, on see õiguste disaini, mitte VPN-i küsimus.

Puhastamine pärast seadme kaotust

Tühista või keela konto serveris enne kõike muud, sest kohalik kustutamine ei saa muuta kehtetuks koopiat, mis kellelgi juba on. Seejärel tühjenda meeldejäetud registriväärtused, eemalda profiil ja kõik mandaadifailid ning otsi kestahistorist ja skriptikaustadest kleepimisega lisatud paroole.

Kirjuta üles, mis eemaldati ja millal juurdepääs lõppes. See paar vastab ainsale küsimusele, mida juhtumi ülevaatus esitab: kas mõni mandaadi koopia töötas veel pärast seadme lahkumist.