auth-nocache ja tunnistetiedostosto: auttaako vai haittaako?

OpenVPN tulostaa käynnistyksen yhteydessä varoituksen, joka ehdottaa auth-nocache, ja houkutteleva vastaus on lisätä valinta ja katsoa rivin katoavan. Tämä neuvo olettaa vuorovaikutteisen kirjautumisen. Kun käyttäjätunnus ja salasana asuvat tiedostossa, vertailu muuttuu: valinta lakkaa suojaamasta pysyvää kopiota, ja asiakkaassa, joka luopuu oikeuksista, se voi myöhemmin rikkoa uudelleenneuvottelun. Kaksi tallennusmallia kannattaa pitää erillään ennen profiilin muokkaamista.

Kaksi tapaa vastata tunnistetietopyyntöön

Ensimmäinen malli on ihminen, joka kirjoittaa tunnistetiedot päätteeseen, tai hallintakäyttöliittymä, joka pitää niitä istunnon ajan. OpenVPN säilyttää tämän kopion voidakseen vastata seuraavaan uudelleenneuvotteluun kysymättä uudelleen, ja juuri siitä varoitus kertoo. Levyllä ei ole mitään mukana, joten ainoa suojattava asia on prosessi, joka pitää arvoa. Sulje asiakas, ja kopio katoaa sen mukana.

Toinen malli on auth-user-pass , joka osoittaa tiedostoon, jossa tiedosto on varasto ja asiakas lukee sen, kun arvoa tarvitaan. Tässä merkitsevä altistus ei ole prosessin muisti vaan kyseisen tiedoston käyttöoikeudet ja omistajuus. Käynnistysvaroitus tulee kokoonpanon direktiiveistä, ei siitä, miten toimitat salasanan, joten se näkyy molemmissa malleissa eikä osoita kumpaankaan.

Loput tästä vertailusta seuraa tästä jaosta: muistinkäsittely toiselle mallille, tiedostonkäsittely ja prosessin identiteetti toiselle.

Mitä auth-nocache todella hävittää

Vuorovaikutteisessa kirjautumisessa --auth-nocache poistaa tallennetun kopion muistista sen jälkeen, kun sitä on käytetty. Hinta on uusi kysely jokaisella uudelleenneuvotteluvälillä, koska seuraava kierros ei voi käyttää uudelleen sitä, mikä hävitettiin.

Tiedostopohjaisessa kirjautumisessa asiakas voi lukea tiedoston uudelleen, joten hävittäminen on enimmäkseen näkymätöntä. Se tulee näkyväksi yhdessä paikassa, jossa ihmiset eivät sitä odota: kun taustaprosessi luopuu oikeuksista, jos tunnistetiedostoa ei voi lukea se tili, jonka alla se nyt toimii.

Lisää valinta, koska ymmärrät tämän vaihtokaupan, et siksi, että varoitus ilmestyi. Valinta, joka lisätään lokin hiljentämiseksi, on valinta, jonka vaikutusta kukaan ei mitannut.

Missä tiedostopohjainen polku katkeaa

Asiakas, joka käynnistyy rootina avatakseen tunnelilaitteen ja vaihtaa sitten kohteeksi user ja group , lukee tunnistetiedoston kahdesti: kerran ennen vaihtoa, kerran seuraavassa uudelleenneuvottelussa. Jos tiedoston tila on 600 ja sen omistaa root, toinen luku epäonnistuu, ja vika ilmenee tuntia myöhemmin todennusvirheenä, joka näyttää palvelinongelmalta. Tarkista asiakkaan loki uudelleenneuvotteluvälin ympäriltä ja sitten tili ja tiedosto yhdessä.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Molemmat rivit ovat tärkeitä. Ensimmäinen kertoo, kuka voi lukea tiedoston, toinen kertoo, kuka käynnissä oleva taustaprosessi todella on, ja niiden välinen ristiriita selittää vian, jota mikään salasanan uudelleenkirjoitus ei korjaa.

Käytännön korjaukset eivät ole loistokkaita: siirrä tiedosto hakemistoon ja omistajalle, jota taustaprosessin tili voi lukea, tai pidä etuoikeutettu luku ja varmista, että asiakkaasi lukee vain kerran. Älä ratkaise sitä tekemällä tiedostosta kaikkien luettavaa.

Tapaus, joka todella haluaa valinnan

Kertakäyttökoodin sisältävä kirjautuminen haluaa auth-nocache eri syystä. Kertakäyttökoodi kuluu ensimmäisessä todennuksessa, joten välimuistiin tallennettu kopio on hyödytön seuraavassa uudelleenneuvottelussa, ja vanhentunut arvo voitaisiin jopa toistaa.

Se on kysymys tunnistetietotyypistä, ei siitä, mihin se tallennetaan. Suojatussa tiedostossa olevalla staattisella salasanalla on päinvastainen profiili: sen on oltava luettavissa jokaisessa uudelleenneuvottelussa, ja tarvitsemasi suoja on tiedostossa.

Pidä ne kaksi syytä erillään profiilin kommenteissa, muuten seuraava ylläpitäjä olettaa valinnan olevan siellä syystä, jonka hän itse olisi valinnut.

Vertailu yhdessä päätöksessä

Valitse vuorovaikutteinen malli, kun paikalla on ihminen ja tuoreus on tärkeää, ja hyväksy toistuva kysely sen hinnaksi. Valitse tiedostomalli, kun asiakas toimii valvomatta, ja käytä vaiva omistajuuteen, tilaan ja oikeuksista luopumiseen.

Kumpikaan malli ei tee tallennetusta salasanasta turvallista itsessään, eikä kumpikaan tee käynnistysvaroituksesta merkityksellistä.

Jos varoitus on ainoa syy siihen, että avasit profiilin, kirjaa päätös selittämättömän valinnan sijaan: tunnistetiedot tulevat tiedostosta, jota taustaprosessin tili voi lukea, uudelleenneuvottelun on nähty onnistuvan, ja OpenVPN 2.6 -käsikirjan uudelleenneuvottelua koskeva osio luettiin ennen sen välin muuttamista. Se muistiinpano elää pidempään kuin mikään yksittäinen valitsin.