OpenVPN GUI tallensi Windows-salasanani: missä se sijaitsee

Yhteysikkuna tarjoaa valintaruudun kirjautumisen muistamiseksi, ja sen rastittaminen siirtää tilitiedot käyttäjän päästä koneeseen. Käyttöliittymä ei koskaan kerro, minne. Windowsissa ehdokkaita ovat nykyisen käyttäjän rekisterialue, profiilitiedosto, joka jo sisältää kirjautumisen, ja se, mitä automaatioskripti tekee. Jokaisella paikalla on eri lukija, eri vikatila ja eri siivous, joten hyödyllinen kysymys on, mikä prosessi voi palauttaa salaisuuden ja kuinka pitkäksi ajaksi. Seuraa valintaruutua ikkunasta ulospäin ja päätä sitten, mitä kadonnut kannettava todella paljastaa.

Aloita yhteysikkunan valintaruudusta

Muistetut arvot säilytetään profiili- ja Windows-tilikohtaisesti käyttäjän pesässä, ei koneen yhteisessä säilössä. Siksi toinen käyttäjä samalla tietokoneella ei näe tallennettua kirjautumista, ja siksi asiakasohjelman uudelleenasennus ei välttämättä tyhjennä tallennettua merkintää.

Profiilitiedosto itse säilyttää palvelimen, portin ja asetukset mutta ei salaisuutta, minkä vuoksi ihmiset tutkivat ensin väärän artefaktin. Profiilin poistaminen siis poistaa yhteyden ja jättää tunnistetiedot jäljelle. Se on siivouksen yleisin yllätys. Poista molemmat artefaktit, älä yhtä.

Mitä rekisteriarvo paljastaa

Tilin nimi on luettavaa tekstiä, joten mikä tahansa kyseisenä käyttäjänä toimiva voi purkaa sen ilman erityiskutsua. Salasana on erilainen: se on sinetöity Windows DPAPI:lla, sidottu tiliin ja lippujen mukaan tiettyyn koneeseen. Sinetöidyn blobin siirtäminen toiselle tietokoneelle ja uudelleentoisto ei siksi tuota käyttökelpoista salaisuutta.

Arvojen listaaminen vastaa operatiiviseen kysymykseen koskematta itse salaisuuteen. Mitään ei tarvitse purkaa, jotta merkinnän olemassaolo voidaan vahvistaa. Lista toimii myös ennen ja jälkeen -kirjauksena siivousta varten.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Kaksi rajaa ansaitsee tulla sanotuiksi suoraan. Saman kirjautuneen istunnon prosessi voi kutsua samaa suojauksen poiston rutiinia, jota asiakasohjelma käyttää, joten sinetöinti on lepotilan suoja eikä suojaa kompromettoitun työpöydän varalta. Ja ilman täyttä levyn salausta sinetöity arvo on vain niin yksityinen kuin levy.

Kun profiilitiedosto sisältää jo kirjautumisen

Jotkut portaalit antavat määrityksen, johon tilin nimi ja salasana on kirjoitettu, joten asiakasohjelma yhdistää hiljaa. Siinä vaiheessa tiedosto on toimiva tunnistetieto, ja jokainen sen kopio on uusi avain samaan oveen.

Sellaiset tiedostot päätyvät varmuuskopioihin, chat-ketjuihin ja synkronoituihin kansioihin, eikä mikään noista kopioista lakkaa toimimasta, kun alkuperäinen poistetaan. Paikallisen tiedoston muokkaaminen ei muuta mitään muissa. Käytön peruuttaminen tarkoittaa salasanan vaihtamista palvelimella, ja se on tehtävä viipymättä. Yhden kannettavan siivous on erillinen, pienempi tehtävä.

Missä kehote on hyväksyttävä, suosi sitä ja käytä asiakasohjelman välimuistiasetuksia. Jos esitäytetty profiili on todella tarpeen, pidä se poissa synkronoiduista kansioista ja poista se, kun työ päättyy.

Automaatio siirtää salaisuuden muualle

Skriptit tuovat kaksi kanavaa lisää: prosessin argumentit ja synteettiset näppäinpainallukset. Komentorivillä nimetty tiedosto on näkyvissä kaikelle, joka voi lukea prosessin argumentit tai tiedoston oikeudet, ja työkalun kirjoittama salasana menee ikkunaan, jolla on kulloinkin kohdistus. Yksi julkaistu esimerkki kirjoittaa työpöydän salasanan sillä tavalla ennen asiakasohjelman käynnistämistä. Tallennettu kertakäyttöisen salasanan siemen ansaitsee saman huolenpidon, koska se voi luoda jokaisen tulevan koodin ja elää pidempään kuin yksi kirjautuminen.

Parempi malli säilyttää salaisuuden siellä, missä vain palvelutili voi lukea sen, luottaa asiakasohjelman dokumentoituihin uudelleenyritys- ja tunnistetietolähdeasetuksiin ja välttää ruiskutettua kirjoittamista käyttöoikeuskehotteissa. Jos skripti tarvitsee työpöydän salasanan oikeuksien korottamiseen, se on käyttöoikeuksien suunnittelun eikä VPN:n kysymys.

Siivous kadonneen laitteen jälkeen

Peru tai poista tili palvelimella ennen kaikkea muuta, koska paikallinen poisto ei voi mitätöidä kopiota, joka jollakulla jo on. Tyhjennä sitten muistetut rekisteriarvot, poista profiili ja kaikki tunnistetietotiedostot ja etsi liitetyt salasanat komentotulkin historiasta ja skriptikansioista.

Kirjoita ylös, mitä poistettiin ja milloin käyttö päättyi. Tämä pari vastaa ainoaan kysymykseen, jonka tapahtuman katsaus esittää: toimiko jokin tunnistetietojen kopio vielä sen jälkeen, kun laite lähti.