Non gorde behar du Linuxek zure VPN pasahitza? Ez profilean
NetworkManagerren sekretu-banderek erabakitzen dute profilek, giltza-zaindari batek ala inork ez duen pasahitza gordetzen. Erantzuna konexioa noiz abiatzen den araberakoa da.
VPN pasahitzak nonbait bizi behar du: konexio-profilean, mahaigainak irekitzen duen giltza-zaindari batean edo inon ez. NetworkManagerek sekretu-bandera deitzen dio aukera horri, eta okerra aukeratzea da konexio bat saioa hasi ondoren funtzionatzen eta zerbitzu gisa huts egiten duen arrazoia. Bandera konfigurazio-lerro bat da, eta hiru emaitzetatik zein lortuko duzun erabakitzen du.
Hiru banderek ia kasu guztiak estaltzen dituzte, eta erabakia konexioa noiz abiatzen den da.
Hiru sekretu-bandera, hiru jokaera
0 banderak sekretua konexioarekin batera gordetzen dela esan nahi du, profila duen biltegian. 1 banderak agentearen jabetzakoa bihurtzen du: sekretua sekretu-agente batetik dator, adibidez mahaigaineko giltza-zainditik, eta NetworkManagerek aktibatzean eskatzen du. 2 banderak gordeta ez dagoela esan nahi du, beraz sekretua ez da inoiz idazten eta aldi bakoitzean eman behar da. 4 banderak sekretua beharrezkoa ez dela markatzen du, benetan bat ere behar ez duten konexioetarako.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Ezarri banderak sekretuka, ez konexioka. Konexio batek agentearen jabetzako pasahitza eta gordetako gako pribatuaren pasaesaldia izan ditzake.
Erabaki konexioa noiz abiatzen den
Saioa hasita duen erabiltzaile batek konexioa abiatzen badu, agentearen jabetza da lehenespen zentzuduna: giltza-zaindaria saio-hasierarekin irekitzen da eta sekretua ez da inoiz fitxategi batean geratzen. Konexioak inork saioa hasi baino lehen altxatu behar badu, agentearen jabetza aukera okerra da, zeren ez dago saio-giltza-zaindaririk irekitzeko.
Hori da erabaki osoa. Gainerako guztia horren aldaera da.
Saio-hasieraren aurretiko zerbitzu baterako, onartutako eredua sistema-mailako biltegi bat edo babestutako gako-fitxategi bat da, eta fitxategi-baimenak bihurtzen dira babesa. Ez konpondu arazoa abioan exekutatzen den shell script batean pasahitza itsatsita.
Zer ematen duen giltza-zaindariak eta zer ez
Giltza-zaindari batek sekretua konexio-profiletik kanpo edukitzen du eta erabiltzaile-saio batekin lotzen du. Ez du sekretua saiorik gabeko zerbitzu batentzat eskuragarri jartzen, eta ez du ezer zifratzen sarean. Jendeak sarritan batzen dituen propietate bereiziak dira. Benetan erosten duena profileko fitxategi bat filtratzean kalte-erradio txikiagoa da.
Profileko erreferentzia duen gako pribatuak bere baimenak behar ditu, pasahitza non bizi den alde batera utzita.
Diagnostikoa sekretuak isuri gabe
Konexio-izenak, UUIDak eta banderak nahikoa izaten dira hutsegite bat azaltzeko. nmcli connection show zerrendatzen ditu profila, eta sekretu-banderek pasahitza nondik etorri behar zen esaten dizute.
Saihestu --show-secrets tiketetan eta txatean. Behin itsatsita, transkripzio bateko kredentziala da.
Biltegiratzea ez da baliogabetzea
Sekretu bat giltza-zaindari batetik kentzeak ez du baliogabetzen urruneko operadoreak jada onartu duen kredentziala. Kontua baliogabetzea zerbitzariaren aldeko ekintza da, eta tokiko biltegiratzea aparteko kontua da, aparteko jabearekin.
Erabaki biak gertaeraren aurretik, ez bitartean. Erabiltzaile-konexio interaktibo batek eta saio-hasieraren aurreko zerbitzu batek erantzun desberdinak behar dituzte, eta partekatutako shell script bat ez da ez bata ez bestea. NetworkManagerren sekretu-banderei buruzko dokumentazioak balioak osorik zerrendatzen ditu.