Zergatik ezin duen abioan abiarazitako VPN zerbitzu batek zure gako-eraztuna irakurri
Abioko VPN batek ez du desblokeatutako sekretu-agenterik mailegatzeko. Irakurri konexioaren sekretu-markak zerbitzariak inoiz ukatu ez zuen pasahitz bat berrezarri aurretik.
Saioa hasi ondoren funtzionatzen duen eta aurretik huts egiten duen konexio batek normalean esan nahi du abioko saiakerak ezin izan zuela sekreturik lortu, ez eta zerbitzariak bat ukatu zuenik. Kredentziala badago; hura eskatzen duen testuingurua ez. Bereizketa bakar horrek alferrikako pasahitz berrezartze bat aurrezten du.
Jarraitu eskaerari: zerbait konexioa abiarazten du mahaigaineko saioa existitu baino lehen, eta normalean erantzuten duen sekretu-biltegia oraindik ez dago desblokeatuta. Bi testuinguruek ez dute ados jartzen sekretua nori dagokion, eta profilek erregistratzen du zeini espero zaion hura ematea.
Zer eskatzen duen abio-bideak benetan
Abioan, NetworkManager sistema-zerbitzu gisa abiarazten da erabiltzaile-saiorik, saio D-Busik eta gako-eraztun desblokeaturik gabe. Konexio-profil bat igo daiteke oraindik, baina zerbitzuak berak irits ditzakeen sekretuekin soilik. Sekretu-agente baten jabetzako edozer itxaroten geratzen da norbait saioa hasi eta agentea agertu arte. Zerbitzuak bere konfigurazioak dioena egiten du zehazki; profila da aldatu behar dena.
Hutsegitea konexioan idatzita dago, ez gako-eraztun batean ezkutatuta.
Konexio baten sekretu-markak irakurtzea
Galdetu konexioari zer espero duen, ez mahaigainak zer gogoratzen duen. Marken zutabeak zuzen erantzuten dio galderari, eta berrabiarazteetan bizirik irauten du diskoan dagoen profil-fitxategian.
Hasi profileen zerrendarekin, gero egiaztatu zein konexio dagoen bere kabuz igotzeko ezarrita. Ondoren bota konexio bat eta irakurri pasahitz-markak:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Lehen komandoak egiaztatzen du zein profil dauden eta bat automatikoki konektatzeko ezarrita dagoen, horrela hasten baita gainbegiratu gabeko saiakera bat. Bigarrenak marken balioak agerian uzten ditu, eta hirugarrenak zerbitzua kexu erakusten du sekretu jakin batentzat agente bakar batek ere ez zuela erantzun. Sekretu bat agentearen jabetzako gisa aipatzen duen erregistro-lerro bat da diagnostiko osoa esaldi bakarrean.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Zergatik aldatzen duen konexioa sistema-eremura mugitzeak erantzuna
Erabiltzaile baten jabetzako konexio bat erabiltzaile horren agentearen pean aktibatzen da, eta horregatik funtzionatzen du ezin hobeto mahaigaina altxatu ondoren. Sistema-eremura mugitzeak agentea bideatik kentzen du, beraz profil berak modu ezberdinean jokatzen du VPN konfigurazioaren lerro bat ere aldatu gabe.
Mugimendu hori diseinu legitimo bat da, eta baldintza bat dakar: sekretua sistema-zerbitzuarentzat eskuragarria izan behar da. Profilan gordetzea, sistema-eremuko kredentzial baten bidez ematea edo une egokian galdera interaktibo bat onartzea erantzun baliozkoak dira guztiak. 1 marka utzi eta itxarotea, ez.
Pasahitz esaldi propioa duen gako pribatu batek bigarren geruza gehitzen du. Gordetako kontu-pasahitz batek ere ez du pasahitz esaldia eskatzen duen gako bat desblokeatuko, beraz egiaztatu huts egiten duen etapak zein sekretu eskatzen duen benetan ezer aldatu aurretik.
Zer ez egin eta zer egin horren ordez
Kredentzial-fitxategi guztiak denek irakurgarri egitea, edo autentifikazioa desgaitzea galderarik behar ez dadin, abioko eragozpen bat exposure iraunkor baten truke aldatzea da. Biek mendekotasuna ezkutatzen dute konpondu beharrean, eta hurrengo irudi-eguneratzeak huts berbera berriz sartzen du.
Erabili etapa horretan zure banaketak gainbegiratu gabeko aktibaziorako dokumentatzen duen mekanismoa, eta gero egiaztatu profilaren markak harekin bat datozela. Egiaztatu emaitza abio garbi batetik, jada agente bat duen shell batetik beharrean. Idatzi konexioaren jabea, sekretuaren iturria eta funtzionatu behar duen etapa, geroagoko autostart aldaketa batek isil-isilik ezin dezan berriro sartu norbait mahaigaina lehenbailehen desblokeatzearen mendekotasuna. Dokumentazioa konpondutako zerbitzu baten eta hurrengo hiruhilekoan berriro hausten den baten arteko aldea da.
Probatu abio garbi kontrolatu batetik, saioa hasi ondorengo eskuzko berriro saiakera batetik beharrean. Berriro saiakerak arrakasta du abioko saiakera huts egin zuen arrazoiagatik, eta hori da proba azkar batek suntsitzen duen froga zehatza.