OpenVPN GUI a enregistré mon mot de passe Windows : où il se trouve

La boîte de dialogue de connexion propose une case pour mémoriser l'identifiant, et la cocher fait passer les détails du compte de la tête de l'utilisateur vers la machine. L'interface ne dit jamais où. Sous Windows, les candidats sont la zone de registre de l'utilisateur courant, un fichier de profil qui porte déjà l'identifiant, et ce que fait un script d'automatisation. Chaque emplacement a un lecteur différent, un mode de défaillance différent et un nettoyage différent, donc la question utile est quel processus peut récupérer le secret et pour combien de temps. Suivez la case depuis la boîte de dialogue vers l'extérieur, puis décidez ce qu'un portable perdu expose réellement.

Commencez par la case de la boîte de dialogue de connexion

Les valeurs mémorisées sont conservées par profil et par compte Windows, dans la ruche de l'utilisateur et non dans un magasin partagé de la machine. C'est pourquoi un second utilisateur sur le même ordinateur ne voit aucune connexion enregistrée, et pourquoi réinstaller le client n'efface pas forcément l'entrée stockée.

Le fichier de profil lui-même conserve le serveur, le port et les réglages, mais aucun secret, ce qui explique qu'on inspecte d'abord le mauvais artefact. Supprimer le profil retire donc la connexion et laisse l'identifiant derrière. C'est la surprise la plus fréquente lors du nettoyage. Supprimez les deux artefacts, pas un seul.

Ce que révèle la valeur de registre

Le nom du compte est en texte lisible, donc tout ce qui s'exécute sous cet utilisateur peut le décoder sans appel particulier. Le mot de passe est différent : il est scellé avec Windows DPAPI, lié au compte et, selon les indicateurs, à la machine précise. Transporter le bloc scellé vers un autre ordinateur et le rejouer ne produit donc pas de secret utilisable.

Lister les valeurs répond à la question opérationnelle sans toucher au secret lui-même. Rien n'a besoin d'être déchiffré pour confirmer qu'une entrée existe. La liste sert aussi de relevé avant et après pour le nettoyage.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Deux limites méritent d'être dites franchement. Un processus dans la même session ouverte peut appeler la même routine de déprotection que le client, donc le scellement est une protection au repos et non contre un bureau compromis. Et sans chiffrement intégral du disque, la valeur scellée n'est privée que tant que le disque l'est.

Quand le fichier de profil contient déjà l'identifiant

Certains portails fournissent une configuration où le nom de compte et le mot de passe sont écrits, si bien que le client se connecte en silence. À ce stade, le fichier est un identifiant qui fonctionne, et chaque copie en est une clé de plus pour la même porte.

Ces fichiers finissent dans des sauvegardes, des fils de discussion et des dossiers synchronisés, et aucune de ces copies ne cesse de fonctionner quand l'original est supprimé. Modifier le fichier local ne change rien aux autres. Révoquer l'accès signifie changer le mot de passe sur le serveur, et le faire rapidement. Le nettoyage sur un seul portable est une tâche distincte et plus petite.

Là où une invite est acceptable, préférez-la et utilisez les contrôles de cache du client. Si un profil prérempli est vraiment nécessaire, gardez-le hors des dossiers synchronisés et retirez-le quand le travail se termine.

L'automatisation déplace le secret ailleurs

Les scripts introduisent deux canaux de plus : les arguments de processus et les frappes synthétiques. Un fichier nommé sur une ligne de commande est visible par tout ce qui peut lire les arguments du processus ou les droits du fichier, et un mot de passe tapé par un outil va à la fenêtre qui a le focus. Un exemple publié tape le mot de passe du bureau de cette façon avant de lancer le client. Une graine de mot de passe à usage unique stockée mérite le même soin, car elle peut générer chaque code futur et survit à une seule connexion.

Le meilleur schéma stocke le secret là où seul le compte de service peut le lire, s'appuie sur les options documentées du client pour la nouvelle tentative et la source d'identifiants, et évite la frappe injectée dans les invites de privilèges. Si le script a besoin du mot de passe du bureau pour l'élévation, c'est une question de conception des privilèges, pas de VPN.

Nettoyage après un appareil perdu

Révoquez ou désactivez le compte sur le serveur avant tout le reste, car une suppression locale ne peut pas invalider une copie que quelqu'un possède déjà. Ensuite, effacez les valeurs mémorisées du registre, retirez le profil et tout fichier d'identifiants, et cherchez des mots de passe collés dans l'historique du shell et les répertoires de scripts.

Notez ce qui a été retiré et quand l'accès a pris fin. Cette paire répond à la seule question que pose une revue d'incident : une copie de l'identifiant fonctionnait-elle encore après le départ de l'appareil.