OpenVPN auth-nocache: mitä seuraavalla kirjautumisella tapahtuu

Kytke auth-nocache päälle, niin salasanan välimuistista varoittava ilmoitus katoaa, samoin kopio tunnistetiedoista, jota OpenVPN piti seuraavaa uudelleenneuvottelua varten. Muuttuuko tämä kehotteeksi, hiljaiseksi uusintayritykseksi vai katkenneeksi tunneliksi, riippuu siitä, mistä tunnistetiedot tulevat toisella kerralla. Siksi tämä on vertailu käyttöönottotapojen välillä eikä tuomio vaihtoehdosta. Lue se muoto, jota todella ajat, ennen kuin muokkaat yhtään profiilia.

Mistä toinen tunnistetietojoukko on tultava

OpenVPN soveltaa auth-nocachea salaisuuksiin, jotka auth-user-pass ja askpass keräävät: kun niitä on käytetty, prosessi hylkää ne sen sijaan, että pitäisi niitä seuraavaa kättelyä varten. Uudelleenneuvottelu saapuu ajastimella, oletuksena kerran tunnissa, joten toinen pyyntö saapuu kauan sen jälkeen, kun salasanan kirjoittanut henkilö on jo siirtynyt muualle. Se väli on koko tarina. Kun välimuisti on päällä, asiakasohjelma toistaa tallennetun kopion kysymättä keneltäkään; kun se on pois päältä, sen on löydettävä salaisuus muualta tai epäonnistuttava.

Luettele siis kaikki paikat, joista salaisuus voisi tulla tuolla hetkellä, ja ole rehellinen siitä, mitkä niistä ovat olemassa isännässä. Henkilö päätteen ääressä, tiedosto, jonka auth-user-pass tai askpass voi lukea, tai palvelimen myöntämä istuntotunnus ovat ne kolme, joilla on tässä merkitystä. Jos mikään niistä ei ole saatavilla, uudelleenneuvottelu epäonnistuu tunti muutoksen jälkeen, ei sillä hetkellä, jolloin teit sen.

Kolme muotoa, kolme epäonnistumiskohtaa

Työpöytäasiakasohjelma, jonka edessä on henkilö, on lievä tapaus: kehote palaa, joku kirjoittaa salasanan uudelleen, ja hinta on huomio. Palvelu, kontti tai reititin, joka ajaa OpenVPN:ää ilman päätettä, on kova tapaus, koska kukaan ei ole vastaamassa ja yhteys, joka ennen oli hiljainen, päättää nyt tunnelin. Hybridi on näiden kahden välissä ja käyttäytyy kuin työpöytätapaus, kunnes istunto, joka voisi vastata kehotteeseen, katoaa. Niitä ei erota se, onko GUI asennettu, vaan se, onko tunnistetietojen lähde olemassa uudelleenneuvottelun hetkellä.

Sovita käyttöönottoasi yhteen näistä kolmesta ennen kuin muutat mitään, sillä netistä löytyvä neuvo on lähes aina kirjoitettu ensimmäistä varten. Työpöytävastauksen soveltaminen päätteettömään palveluun on se tapa, jolla kuukausia toiminut tunneli alkaa pudota joka tunti.

Direktiivi vai lippu: valitse yksi ja tiedä, kumpaa käytit

Profiilin sisällä auth-nocache on oma rivinsä; kutsussa, joka nimeää profiilin nimenomaisesti, se on lippu kyseisellä komentorivillä, ja OpenVPN:n käsikirja luettelee molemmat muodot. Molemmat tekevät saman tunnistetietojen säilyttämiselle, eikä kumpikaan koske liittymän tyyppiin tai korjaa samassa lokissa olevaa asiaankuulumatonta varoitusta. Ero on pysyvyydessä: lippu kattaa vain kyseisen ajon, joten unit-tiedostosta tai kääreskriptistä uudelleenkäynnistetty palvelu ei saa sitä, ellei kääre välitä sitä myös.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Päätä, mikä artefakti omistaa asetuksen, muuta sitä siellä eikä missään muualla. Kannettavalla muokattu profiili ja systemd-unit, joka ohittaa sen lipulla, on se pari, joka tuottaa ristiriitaisen käytöksen uudelleenkäynnistyksen jälkeen.

Tunnistetietotiedosto siirtää salaisuuden sen sijaan että poistaisi sen

auth-user-passin osoittaminen tiedostoon antaa jokaiselle myöhemmälle uudelleenneuvottelulle lähteen, ja se myös sijoittaa salasanan paikkaan, joka selviää uudelleenkäynnistyksistä. Kysy, kuka voi lukea tiedoston, voiko taustaprosessi vielä lukea sen luovuttuaan oikeuksista, ja mitä tapahtuu, kun tiedostojärjestelmä on liitetty vain luku -tilaan tai konttinäkymä piilottaa polun. Salaisuus levyllä ja salaisuus muistissa ovat eri ongelmia, ja toisen ratkaiseminen jättää toisen paikoilleen. Rotaatio on vaihe, joka ohitetaan: palvelimella mutta ei tiedostossa vaihdettu salasana tuottaa vian, joka luetaan verkkoviaksi.

Pidä tiedosto sen tilin omistuksessa, joka ajaa taustaprosessia, muiden lukemattomissa ja isännän ulkopuolelle jäävien varmuuskopioiden ulkopuolella. OpenVPN:n palvelinpuolen auth-gen-token-vaihtoehto antaa asiakkaalle istuntotunnuksen onnistuneen kirjautumisen jälkeen, mikä on pienempi asia jättää lojumaan kuin tilin salasana. Kirjoita rotaatiovaihe tiedoston viereen joka tapauksessa, koska tiedosto yleensä elää kauemmin kuin sen luonut henkilö.

Uudelleenneuvottelun venyttäminen siirtää kustannuksen, ei poista sitä

Toinen ehdotus on nostaa reneg-sec-arvoa, kunnes kehote on niin harvinainen, että sen voi jättää huomiotta. Se kirjoittaa uudelleen istunnon avainten rotaatioaikataulun ja työntää saman tunnistetieto-ongelman myöhempään, vähemmän ennustettavaan hetkeen; se ei luo tunnistetietolähdettä. Käytäntöä, joka uusii avaimet aikataulun mukaan jostain syystä, ei pitäisi löysätä vain salasanan kirjoittamisen välttämiseksi.

Testaa uudelleenyhdistämistä äläkä istuntoa, jossa istut, koska elävä istunto ei todista mitään. Pudota tunneli palvelimen puolelta tai käynnistä asiakaspalvelu uudelleen ja katso, mitä seuraava uudelleenneuvottelu tekee, kun kukaan ei ole näppäimistöllä. Jos se yhdistyy uudelleen, nimeä mekanismi, joka toimitti salaisuuden; jos ei, olet löytänyt vaihtoehdon todellisen hinnan tällä isännällä. Kumpi tahansa tulos antaa sinulle vastauksen, joka pitää katkoksen aikana, sen sijaan että se piti testauksen aikana.

Hallitussa laivueessa käyttöönoton omistajan pitäisi pystyä nimeämään kolme asiaa: mistä tunnistetiedot tulevat, missä niitä säilytetään ja kuka ne rotaa. Jos jokin noista vastauksista on henkilö, joka asensi isännän, vaihtoehto ei ole siellä vielä turvallinen.