auth-nocache mei in oanmeldbestân: helpt it of skeadet it?

OpenVPN prints by it starten in warskôging dy't foarstelt om auth-nocache en de ferliedlike reaksje is de opsje ta te foegjen en te sjen hoe't de rigel ferdwynt. Dat advys giet út fan in ynteraktive oanmelding. Sadree't de brûkersnamme en it wachtwurd yn in bestân steane, feroaret de ferliking: de opsje beskermet de duorsume kopy net mear, en op in klant dy't foarrjochten ôfskaft kin it letter de werûnderhanneling brekke. Twa opslachmodellen is it wurdich apart te hâlden foardat jo in profyl bewurkje.

Twa manieren om op de oanmeldgegevensfrege te antwurdzjen

It earste model is in minske dy't oanmeldgegevens yn in terminal typt, of in behearinterface dy't se foar de sesje hâldt. OpenVPN hâldt dy kopy sadat it de folgjende werûnderhanneling beantwurdzje kin sûnder wer te freegjen, en dêr giet de warskôging krekt oer. Der is neat op skiif belutsen, dus it iennige dat beskerme wurde moat is it proses dat de wearde hâldt. Slút de klant en de kopy is dermei fuort.

It twadde model is auth-user-pass dy't nei in bestân wiist, wêrby't it bestân de opslach is en de klant it lêst as in wearde nedich is. De bleatstelling dy't hjir fan belang is, is net it prosesûnthâld mar de rjochten en it eigendom fan dat bestân. De startwarskôging komt fan 'e rjochtlinen yn 'e konfiguraasje, net fan in ûndersyk nei hoe't jo it wachtwurd leverje, dus hy ferskynt yn beide modellen en wiist nei gjin ien.

De rest fan dizze ferliking folget út dy splitsing: ûnthâldbehear foar it iene model, bestânsbehear en prosesidentiteit foar it oare.

Wat auth-nocache eins fuortsmyt

By in ynteraktive oanmelding --auth-nocache ferwideret de bewarre kopy út it ûnthâld neidat dy brûkt is. De kosten binne in nije frege by elk werûnderhannelingsinterval, om't de folgjende ronde net werbrûkje kin wat fuortsmiten is.

By in bestânsbasearre oanmelding kin de klant it bestân wer lêze, dus it fuortsmyt is meast ûnsichtber. It wurdt sichtber op it iene plak dêr't minsken it net ferwachtsje: neidat de daemon foarrjochten ôfstien hat, as it oanmeldbestân net lêsber is foar it akkount dêr't it no ûnder draait.

Foegje de opsje ta om't jo dy ruil begripe, net om't der in warskôging ferskynde. In opsje dy't tafoege wurdt om in log stiller te meitsjen is in opsje wêrfan't nimmen it effekt metten hat.

Wêr't it bestânsbasearre paad brekt

In klant dy't as root start om it tunnelapparaat te iepenjen en dan oerskeakelet nei user en group lêst it oanmeldbestân twa kear: ien kear foar de oerskeakeling, ien kear by de werûnderhanneling dy't folget. As it bestân modus 600 hat en fan root is, mislearret de twadde lêzing, en de mislearring ferskynt in oere letter as in autentikaasjeflater dy't op in serverprobleem liket. Kontrolearje de klantlog om it werûnderhannelingsinterval hinne en kontrolearje dan it akkount en it bestân tegearre.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Beide rigels binne fan belang. De earste fertelt wa't it bestân lêze kin, de twadde fertelt wa't de draaiende daemon eins is, en in mismatch tusken harren ferklearret in mislearring dy't gjin oantal kearen it wachtwurd opnij typen reparearje sil.

De praktykgerjochte oplossingen binne net glamouris: ferpleats it bestân nei in map en in eigner dy't it akkount fan de daemon lêze kin, of hâld de privilezjearre lêzing en befêstigje dat jo klant mar ien kear lêst. Los it net op troch it bestân foar elkenien lêsber te meitsjen.

It gefal dat de opsje wol wier hawwe

In oanmelding mei in ienmalige koade wol auth-nocache om in oare reden. In ienmalige koade wurdt troch de earste autentikaasje útjûn, dus in cachede kopy is nutteloas by de folgjende werûnderhanneling en in ferâldere wearde koe sels opnij spile wurde.

Dat is in fraach oer it type oanmeldgegevens, net oer wêr't se bewarre wurde. In statysk wachtwurd yn in beskerme bestân hat it tsjinoerstelde profyl: it moat by elke werûnderhanneling lêsber wêze, en de beskerming dy't jo nedich hawwe sit op it bestân.

Hâld dy twa redens apart yn 'e profylkommentaren, want oars sil de folgjende behearder oannimme dat de opsje der is om 'e reden dy't hy keazen hie.

De ferliking yn ien beslút

Kies it ynteraktive model as in minske oanwêzich is en frisheid fan belang is, en akseptearje de werhelle frege as de kosten dêrfan. Kies it bestânsmodel as de klant sûnder tafersjoch draait, en besteegje de muoite oan eigendom, modus en it ôfstean fan foarrjochten.

Gjin fan beide modellen makket in bewarre wachtwurd op himsels feilich, en gjin fan beide makket de startwarskôging betsjuttingsfol.

As de warskôging de iennige reden is wêrom't jo it profyl iepene, skriuw dan it beslút op yn plak fan in ûnferklearre opsje: oanmeldgegevens komme út in bestân dat it akkount fan 'e daemon lêze kin, in werûnderhanneling is slagge sjoen, en de seksje oer werûnderhanneling yn 'e hânlieding fan OpenVPN 2.6 is lêzen foardat it interval feroare waard. Dy notysje oerlibbet eltse aparte flagge.