Yhdistä Windows-VPN uudelleen laittamatta salasanaa tehtävään

Jokainen valvomaton uudelleenyhdistämisohje päätyy lopulta samaan kysymykseen: missä salasana asuu. Suosittu vastaus on tehtävän toiminto itse, joka on sille myös huonoin paikka. Kaksi muuta mallia on olemassa. Kumpi sopii, riippuu siitä, voiko kone tunnistautua ilman henkilöä ja hyväksyykö palvelin varmenneet.

Mitä tehtävän toiminto jättää luettavaksi

Ajoitetun tehtävän argumentit ovat osa sen määritelmää, eivät piilotettu suoritusaikainen arvo. Kuka tahansa, joka voi lukea tehtävän, palauttaa siitä varmuuskopion tai viedä sen XML:n, näkee merkkijonon täsmälleen niin kuin kirjoitit sen. Suorituksen aikana sama merkkijono näkyy prosessiluettelossa. Valvonta-agentti voi kopioida sen lokiin, jota et koskaan tarkista.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Tarkista ennen kuin oletat päinvastaista. Ensimmäinen komento tulostaa koko määritelmän, mukaan lukien toiminto ja sen argumentit. Toinen näyttää, mitkä tunnistetiedot nykyinen tili on välimuistiin tallentanut, millä on merkitystä alla oleville vaihtoehtoisille malleille. Jos salasana näkyy tehtävän XML:ssä, sen vaihtaminen on vain puolet korjauksesta, koska tehtävä pitää yhä vanhaa arvoa.

Mitä tallennettu ennalta jaettu avain todella antaa

Add-VpnConnection -L2tpPsk kirjoittaa avaimen yhteyden puhelinluettelomerkintään eikä tehtävään. Se on pienempi altistuspinta kuin tehtävän toiminto. Se on silti palautettavissa oleva salaisuus, koska koneen järjestelmänvalvoja voi lukea puhelinluettelon.

Kahden hallitsemasi koneen väliseen laboratorioyhteyteen tuo vaihtokauppa voi olla hyväksyttävä. Jaetun päätepisteen käyttäjätunnistetietoihin se ei ole. Sen kutsuminen salatuksi tallennukseksi ei muuta sitä, kuka voi lukea sen. Puhelinluettelo on asetustiedosto. Suunnittele henkilölle, joka voi avata sen, älä vain henkilölle, joka voi kirjautua sisään käyttäjänä.

Winlogon-tunnistetiedot poistavat salaisuuden ja lisäävät riippuvuuden

-UseWinlogonCredential valitsee toisen reitin. Yhteys tunnistautuu MSCHAPv2:lla kirjautuneen käyttäjän tunnistetietoihin. Sille tilille ei tallenneta mitään ylimääräistä.

Lisäämä riippuvuus on merkittävä. Täytyy olla interaktiivinen kirjautuminen, josta lainata, mikä sulkee pois palvelutilin ja ennen kirjautumista ajettavan tehtävän. Yhteys perii myös kaiken, mihin kyseisen käyttäjän tunnistetiedot pääsevät palvelimella. Lue kytkin väitteenä siitä, mistä tunnistetieto tulee, älä tietoturva-asetuksena. Se muuttaa lähteen eikä mitään siinä, miten palvelin valtuuttaa istunnon jälkeenpäin.

Varmennevarmentaminen skaalautuu, koska mitään ei tallenneta

Kun palvelin tukee EAP-TLS:ää, konevarmenne poistaa jaetun salaisuuden kokonaan ja mitätöinti tapahtuu varmennetasolla. Järjestelmänä eli SYSTEM:nä ajettava tehtävä voi esittää sen varmenteen ilman interaktiivista kirjautumista. Varmista, että palvelin hyväksyy varmennevarmentamisen, ennen kuin rakennat sen varaan. Tukemattomaan menetelmään nojaava malli on suunnitelma eikä ratkaisu. Päätä sitten, missä yksityinen avain asuu: koneen tallennustila laitteen identiteetille, käyttäjän tallennustila henkilölle.

Kun käyttäjänimeä ja salasanaa ei voi välttää, tallenna ne Credential Manageriin tehtävän omaan tiliin rajattuna. Anna asiakkaan lukea ne sieltä argumentin sijaan. Salaisuus, jonka tehtävä voi noutaa tulostamatta sitä, on pienempi ongelma kuin sen määritelmään kirjoitettu.

Käy artefaktit läpi ennen seuraavaa kierrätystä

Katso, mitä on tallennettu, älä sitä, mitä aioit. Tarkista käyttäjäkohtainen puhelinluettelo, kaikkien käyttäjien kopio, tehtävän XML ja jokainen komentosarja, joka kutsuu valintakomentoa. Varmista sitten, että varmenne tai välimuistiin tallennettu tunnistetieto on rajattu tilille, jota tehtävä käyttää, koska interaktiiviselle tilillesi tallennettu tunnistetieto on SYSTEM:lle näkymätön.

Kirjaa varmentamismenetelmä ja tili tehtävän omiin muistiinpanoihin. Seuraavan palvelimen käytäntöä muuttavan henkilön on tiedettävä, mikä malli on pelissä. Se vastaus ei näy pelkästä uudelleenyhdistämiskäyttäytymisestä. Kirjoita se sinne, minne seuraava kierrätys katsoo ensin.