Sekretu baliogabeak edukiontziaren arazoa dira, ez pasahitz araua
Balio gaiztoko kredentziala agian ez zen inoiz atebidera iritsi. Lehenik konpara itzazu sarrerako edukiontzia, autentifikazio etapa eta kontua bera.
«Sekretu baliogabeak» ikusteak ondorio bakar batera eramaten du normalean: VPNari ez zaizkio puntuazio-markak gustatzen. Ondorio hori okerra izaten da sarritan, mezua tokiko prozesamendutik etortzen baita sarritan, atebide batek kontuari begiratu aurretik. Bi diseinuk pasahitz bera ematen dute, eremu grafiko batek eta kredentzial fitxategi batek, eta leku ezberdinetan huts egiten dute. Konparatu edukiontziak betidanik zuzena zen pasahitz bat sinplifikatu aurretik.
Errorea atebidea baino lehenago gertatzen da
Tokiko balidazioak, blokeatutako sekretu biltegiak, falta den agenteak eta gaizki osatutako kredentzial fitxategiak erabiltzaileak bazterketa bakar gisa bizi dituen hutsegiteak sortzen dituzte. Horietako batek ere ez du autentifikazio zerbitzaria ukitzen. Atebidearen beraren bazterketa gertaera bereizia da, eta normalean beste mezu batekin eta beste une batean iristen da. Tunel bat dagoenean eta kredentzialak transmititu ondoren gertatzen da.
Beraz, lehen galdera ez da zein karaktere diren legezko, baizik eta non geratu zen saiakera. Inoiz konexio bat ireki ez duen bezeroa ez du inork baztertu. Idatz ezazu behatu duzun etapa, geroagoko urrats bakoitza sailkapen horren mende baitago.
Bereizketak nor arduratzen den ere aldatzen du. Edukiontziaren arazoa gailuarena eta haren jabearena da, kontuaren bazterketa berriz autentifikazio backend-a kudeatzen duenarena.
Konparatu edukiontziak, ez karaktereak
Pasahitz eremu grafiko batek, giltza-sarrerazko erregistro batek, bi lerroko kredentzial fitxategi batek eta automatizazio sekretu batek balio bera eramaten dute gutun-azal ezberdinean. Gutun-azalak bere arauak ditu, eta arau horiek izaten dira apurtzen direnak. Balioa gutxitan da arazoa; balioaren garraioa da. Eduki itzazu bi ideiak bereizita eta diagnostikoa laburragoa izango da.
| Where the value stops | What you see | What you check | Who owns the fix |
|---|---|---|---|
| GUI field or managed profile | A validation message before any connection opens | The selected authentication mode and whether the field holds the secret or the username | The device owner or the profile author |
| Keychain or secret agent | A prompt that keeps reappearing, or an agent error | Whether the agent is unlocked and holds an entry for this profile | The user who owns the keychain |
| Two-line credential file | A prompt for a password that was already supplied | Line count, line order and whether a trailing newline is present | Whoever generated the file |
| Shell argument or environment | Works interactively but fails in automation | Whether the shell expanded, trimmed or logged the value | Whoever wrote the automation |
OpenVPN 2.6 komunitatearen bezero aukerak bi lerroko fitxategi hori deskribatzen dute auth-user-pass-erako, pasahitz lerroa falta denean duen jokabidea barne: orduan bezeroak berak galdetzen du. Xehetasun bakar horrek «jadanik eman dudan pasahitza eskatzen ari da» motako txostenen klase oso bat azaltzen du. Gainera, esaten dizu bigarren lerro hutsa egoera esanguratsua dela, ez inolako formatu aukera kaltegabea.
Komatxoak beste geruza bat dira berriro: kredentzial fitxategi arrunt baten barruko komatxoak datu gisa gordetzen dira, eta shell-ak kentzen ditu programak ezer ikusi baino lehen. Karaktere bera kaltegabea da leku batean eta egiturazkoa bestean. Taula batek ezin dizu esan zure bezeroak zein edukiontzi erabili zuen, beraz irakur ezazu bezeroaren konfigurazioa lerro bat hautatu aurretik.
Lerro-jauziak ere egiturazkoak dira. Lerroekin banatutako eremuak dituen fitxategi batek ezin du lerro-jauzia duen baliorik eraman, eta hori formatuaren muga da, ez pasahitzaren indarrari buruzko judizioa. Erabil ezazu hedapenak onartzen duen entrega mekanismoa, sekretua inprobisatutako fitxategi batean sartzeko moztu ordez.
Sortu kredentzial fitxategia shell-aren kalte gabe
Bide lokal seguruena sekretua shell-aren historiatik eta prozesuaren argumentu zerrendatik kanpo mantentzen du. Irakur itzazu bi eremuak modu interaktiboan, gero idatz itzazu bezeroak espero dituen bi lerroak. Gainerako guztia erraz berrikusten den konfigurazio fitxategi batean gera daiteke.
read -r VPN_USER
read -rs VPN_PASS
printf '%s\n%s\n' "$VPN_USER" "$VPN_PASS" > /etc/openvpn/client/creds
chmod 600 /etc/openvpn/client/creds
openvpn --config /etc/openvpn/client/office.conf --auth-user-pass /etc/openvpn/client/credsLehen bi komandoek erabiltzaile-izena eta gero pasahitza erakuts gabe irakurtzen dute, hirugarrenak bi lerroak idazten ditu, laugarrenak fitxategia murrizten du, eta azkenak bezeroa fitxategi horrekin abiarazten du. Kontuan izan read -r-ek alderantzizko barrak mantentzen dituela, eta hori da hain zuzen funtzionatzen duen pasahitza huts egiten duen pasahitz bihurtzen duen xehetasuna alde batera uzten denean.
Saihestu fitxategia komatxorik gabeko aldagai batekin edo shell hedapenak dituen here-dokumentu batekin eraikitzea. Biek karaktereak eraldatu ditzakete fitxategira iritsi aurretik, eta ondoriozko hutsegitea VPNaren bazterketa dirudi, diskoko pasahitza ezagutzen duzun pasahitzetik benetan desberdina baita. Susmoa baduzu, konparatu fitxategiaren byte luzera espero den balioarekin, sekretua bera inprimatu gabe. Byte bat edo bi bitarteko aldea komatxoen istripu baten sinadura da.
Irakurri etapa lehen errorean
Gorde saiakera baten lehen mezu zehatza eta gero sailkatu. Tokiko balidazio errore bat, falta den gako pribatu bat, eskuragarri ez dagoen sekretu agente bat eta atebidean autentifikazio hutsegite bat lau emaitza desberdin dira, lau jabe desberdinekin. Horietako bakarra da kontuari buruzkoa.
Atebideak benetan ondo entregatutako kredentzial bat baztertzen badu, egiaztatu kontua, autentifikazio backend-a eta beharrezko erronka oro administratzailearekin. Autentifikazio hutsegite orokorrak ez du debekatutako karaktererik aipatzen.
Leheneratu onartutako balioa mekanismo egokiaren bidez, letra eta zifretara murriztu ordez. Pasahitz politika operadorearena da, eta isilka gainditzen duen saihesbide bat ez da konponketa. Gainera, hurrengo pertsonarengandik benetako akatsa ezkutatzen du, hark errore bera pasahitz ahulago batekin eta ideia hoberik gabe aurkituko baitu.