OpenVPN GUI-k nire Windows pasahitza gorde zuen: non dagoen

Konexio-leihoak saioa gogoratzeko kontrol-lauki bat eskaintzen du, eta markatzean kontuaren xehetasunak erabiltzailearen burutik makinara pasatzen dira. Interfazeak ez du inoiz esaten non. Windows-en, hautagaiak uneko erabiltzailearen erregistro-eremua, saioa jada daraman profileko fitxategia eta automatizazio-script batek egiten duena dira. Leku bakoitzak irakurle desberdina, hutsegite modu desberdina eta garbiketa desberdina ditu, beraz galdera erabilgarria zein prozesuk berreskura dezakeen sekretua eta zenbat denboraz da. Jarraitu kontrol-laukitik elkarrizketatik kanpora, eta gero erabaki zer uzten duen agerian galdutako ordenagailu eramangarri batek.

Hasi konexio-elkarrizketako kontrol-laukitik

Gogoratutako balioak profilez eta Windows kontuz gordetzen dira, erabiltzailearen erlauntzean, ez makinaren biltegi partekatuan. Horregatik ordenagailu berean bigarren erabiltzaile batek ez du gordetako saiorik ikusten, eta horregatik bezeroa berriro instalatzeak ez du nahitaez gordetako sarrera ezabatzen.

Profileko fitxategiak berak zerbitzaria, portua eta ezarpenak gordetzen ditu, baina ez sekreturik, eta horregatik jendeak lehenengo artefaktu okerra aztertzen du. Beraz, profila ezabatzeak konexioa kentzen du eta kredentziala atzean uzten du. Hori da garbiketan ohikoena den sorpresa. Kendu bi artefaktuak, ez bat.

Zer agerian uzten duen erregistro-balioak

Kontuaren izena testu irakurgarrian dago, beraz erabiltzaile hori bezala exekutatzen den edozein gauzak dei berezirik gabe deskodifikatu dezake. Pasahitza desberdina da: Windows DPAPI-rekin zigilatuta dago, kontuarekin lotuta eta, banderen arabera, makina zehatzarekin. Beraz, zigilatutako blokea beste ordenagailu batera eraman eta berriz erreproduzitzeak ez du sekretu erabilgarririk sortzen.

Balioak zerrendatzeak galdera operatiboa erantzuten du sekretua ukitu gabe. Ez da ezer deszifratu behar sarrera bat badagoela baieztatzeko. Zerrendak garbiketarako aurretiko eta ondorengo erregistro gisa ere balio du.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Bi muga argi esatea merezi dute. Saio berean dagoen prozesu batek bezeroak erabiltzen duen desbabesteko errutina bera dei dezake, beraz zigilatzea atsedenaldiko babesa da, ez mahaigain konprometituaren aurkakoa. Eta disko-osoko zifratzerik gabe, zigilatutako balioa diskoa bezain pribatua da.

Profileko fitxategiak saioa jada badauka

Atari batzuek kontuaren izena eta pasahitza idatzita dituen konfigurazioa ematen dute, beraz bezeroa isilpean konektatzen da. Une horretan fitxategia funtzionatzen duen kredentziala da, eta haren kopia bakoitza ate bererako beste giltza bat.

Fitxategi horiek babeskopietan, txat-harietan eta sinkronizatutako karpetetan amaitzen dira, eta kopia horietako batek ere ez du funtzionatzeari uzten jatorrizkoa ezabatzean. Tokiko fitxategia editatzeak ez du ezer aldatzen besteetan. Sarbidea baliogabetzeak zerbitzariko pasahitza aldatzea esan nahi du, eta bizkor egitea. Ordenagailu eramangarri bakarrean garbitzea aparteko zeregin txikiagoa da.

Gonbita onargarria den lekuetan, nahiago izan hura eta erabili bezeroaren cache-kontrolak. Aurrez betetako profila benetan beharrezkoa bada, eduki sinkronizatutako karpetetatik kanpo eta kendu lana amaitzean.

Automatizazioak sekretua beste toki batera eramaten du

Scriptek beste bi kanal sartzen dituzte: prozesu-argumentuak eta teklatu-sakatze sintetikoak. Komando-lerroan aipatutako fitxategia prozesu-argumentuak edo fitxategiaren baimenak irakur ditzakeen edozeinentzat ikusgarria da, eta tresnak idatzitako pasahitza unean fokua duen leihoara doa. Argitaratutako adibide batek mahaigaineko pasahitza horrela idazten du bezeroa abiarazi aurretik. Gordetako erabilera bakarreko pasahitz-haziak arreta bera merezi du, etorkizuneko kode guztiak sor ditzakeelako eta saio bakar bat baino gehiago irauten duelako.

Eredu hobeak sekretua zerbitzu-kontuak soilik irakur dezakeen tokian gordetzen du, bezeroaren berriz saiatzeko eta kredentzial-iturburuko aukera dokumentatuetan oinarritzen da, eta pribilegio-gonbidetan injektatutako idazketa saihesten du. Scriptak mahaigaineko pasahitza behar badu goratzeko, hori pribilegioen diseinuaren kontua da, ez VPNarena.

Galdutako gailuaren ondorengo garbiketa

Ezeztatu edo desgaitu kontua zerbitzarian beste ezer baino lehen, tokiko ezabatzeak ezin duelako norbaiten esku dagoen kopia bat baliogabetu. Gero garbitu gogoratutako erregistro-balioak, kendu profila eta kredentzial-fitxategi guztiak, eta bilatu itsatsitako pasahitzak shell-historialean eta script-direktorioetan.

Idatzi zer kendu zen eta noiz amaitu zen sarbidea. Bikote horrek gertaeren berrikuspenak egiten duen galdera bakarra erantzuten du: kredentzialaren kopia batek oraindik funtzionatzen ote zuen gailua joan ondoren.