Estä NetworkManageria näyttämästä tallennettua VPN-salasanaa

NetworkManager voi pitää VPN-salasanaa, jotta yhteys nousee ilman, että kukaan kirjoittaa sitä, ja se voi näyttää arvon uudelleen editorin kautta tai nmcli --show-secrets-komennolla. Tarjolla on kolme omistusmallia, ja näyttäytyminen on vain oire siitä, minkä valitsit. Valitse ensin malli ja aseta sitten sitä vastaava lippu, sen sijaan että piilottaisit kentän paikkamerkillä, joka hämmentää seuraavan henkilön.

Kolme omistusmallia

Ensimmäinen malli kysyy joka kerta. Mitään ei tallenneta, salaisuus on olemassa vain aktivoinnin ajan, ja jokaisen yhteyden käynnistävän on tiedettävä salasana. Se on vähiten kätevä vaihtoehto ja helpoin puolustaa.

Toinen antaa salaisuuden käyttäjän omistamalle avainrenkaalle. Agentti avautuu istunnon alkaessa ja toimittaa arvon pyydettäessä, mikä pitää sen poissa yhteystiedostosta mutta sitoo yhteyden kyseisen käyttäjän istuntoon. Tästä seuraa kaksi ehtoa: agentin on oltava käynnissä ja sen on oltava avattu.

Kolmas tallentaa suojatun tunnistetiedon järjestelmäyhteydelle. Se kestää uudelleenkäynnistykset ja toimii ennen kuin kukaan kirjautuu sisään, ja vastineeksi arvo on levyllä tiedosto-oikeuksien eikä salauksen suojaamana.

Jokainen malli on järkevä oikeassa yhteydessä. Virhe on niiden sekoittaminen, ja niin kannettava päätyy salaisuuteen kahdessa paikassa ilman selvää vastausta siitä, kumpi on määräävä. Kirjoita muistiin, mitä mallia profiili käyttää. Yksi rivi tiimin käsikirjassa säästää seuraavan henkilön keksimästä neljättä etsintäpaikkaa.

Lue nykyinen tila ennen sen muuttamista

Katso profiilia ja salaisuuden tilaa yhteyttä hallinnoivana käyttäjänä. Toinen komento on se, joka kertoo, onko arvo todella luettavissa.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Kyseisen hakemiston avaintiedosto kuuluu yleensä rootille tilassa 600. Se pitää tavalliset käyttäjät ulkona eikä pidä rootia ulkona, millä on merkitystä, kun sama kone on jaettu tai kun varmuuskopio ajetaan rootina.

Tiedosto-oikeudet ovat raja, eivät salausta. Jokaisella, joka voi lukea tiedoston rootina, on salasana selkokielisenä. Se on hyväksyttävä vaihtokauppa valvomattomalle palvelimelle ja huono jaetulle työasemalle. Kertaalleen kirjoittaminen estää pitkän väittelyn siitä, onko arvo suojattu.

Mitä kukin lippuarvo tekee

VPN-salaisuudella on flags-ominaisuus, eivätkä arvot ole ymmärrettävissä pelkistä numeroista.

Todellinen käyttäytyminen riippuu myös liitännäisestä ja siitä, onko agentti käynnissä, joten pidä taulukkoa sopimuksena ja havaittua käyttäytymistä asiana, jonka vahvistat. Yhdellä työpöydällä toimiva arvo voi käyttäytyä toisin palvelimella ilman istuntoa. Juuri siinä raossa useimmat hämmentävät tiketit asuvat.

Aseta ominaisuus nimenomaisesti sen sijaan, että poistaisit rivin ja toivoisit. Puuttuva lippu ei ole käytäntö, ja seuraava pakettipäivitys voi täyttää sen jollain, mitä et tarkoittanut.

Sovita malli siihen, milloin yhteys käynnistyy

Jos yhteys käynnistyy vain, kun käyttäjä on kirjautunut sisään, agentin omistus sopii hyvin ja pitää salaisuuden poissa tiedostosta. Jos se käynnistyy käynnistyksen yhteydessä, ennen kuin istuntoa on olemassa, agentti ei voi auttaa sinua.

Siinä on koko päätös useimmille koneille. Se selittää myös luokan hämmentäviä raportteja, joissa yhteys toimii vuorovaikutteisesti ja epäonnistuu uudelleenkäynnistyksen jälkeen. Lippu ei koskaan muuttunut; asiayhteys muuttui.

Valvomattomassa tapauksessa käytännöllinen vastaus on rajoitettu rootin omistama tiedosto tai hyväksytty tunnistetietolähde. Pidä se poissa yhteysprofiilista, jos profiili joskus viedään tai kopioidaan toiselle koneelle.

Jos arvo oli jo näkyvissä, vaihda se

Lipun muuttaminen jättää salasanan itsensä ennalleen. Arvo, joka ilmestyi kuvakaappaukseen, shellin historiaan, tukeen lähetettyyn pakettiin tai tiedostoon, jonka muut käyttäjät saattoivat avata, on katsottava paljastuneeksi.

Vaihda se palvelimella, korjaa sitten asiakas ja lopeta jokainen istunto, joka todennettiin vanhalla. Paikallisen yhteyden poistaminen ei peruuta mitään toisella puolella, ja juuri sen ihmiset ohittavat.

Lopeta sitten salasanan laittaminen komentoriville. Se päätyy shellin historiaan ja voi näkyä prosessilistauksessa; käytä sen sijaan vuorovaikutteista kehotetta tai agenttia.

Vahvista yhdistämällä uudelleen

Toista komento, joka näytti salaisuuden, ja varmista, että kenttää ei enää tulosteta. Katkaise sitten yhteys ja yhdistä uudelleen, ja käynnistä uudelleen, jos yhteys käynnistyy automaattisesti, koska kiinnostava vika ilmenee vasta, kun istunnon asiayhteys muuttuu.

Jos salaisuus näkyy yhä, sen toimittaa toinen profiili tai toinen agentti. Tutki aktiivinen yhteys ja avainrengas sen sijaan, että poistaisit tiedostoja, kunnes oire siirtyy.