OpenVPN auth-nocache: wat der bart by de folgjende oanmelding

Set auth-nocache oan en de warskôging oer it bewarjen fan it wachtwurd ferdwynt, tegearre mei de kopy fan ’e gegevens dy’t OpenVPN foar de folgjende werom-ûnderhanneling bewarre. Oft dat in oanfraach, in stil nij besykjen of in brutsen tunnel wurdt, hinget ôf fan wêr’t de gegevens de twadde kear wei komme. Dêrom is dit in ferliking tusken foarmen fan útrôljen, gjin oardiel oer de opsje. Lês de foarm dy’t jo eins draaie foardat jo in profyl bewurkje.

Wêr’t de twadde set gegevens wei komme moat

OpenVPN past auth-nocache ta op de geheimen dy’t auth-user-pass en askpass sammelje: sadree’t se brûkt binne, smyt it proses se fuort ynstee fan se te hâlden foar de folgjende hânskudding. In werom-ûnderhanneling komt op in timer, standert ien kear yn ’t oere, dus it twadde fersyk komt lang nei’t de persoan dy’t it wachtwurd typte trochgien is. Dat gat is it hiele ferhaal. Mei de cache oan spilet de klant de bewarre kopy ôf sûnder immen te freegjen; mei de cache út moat er it geheim earnewêr oars fine of mislearje.

Listewol elk plak op dêr’t it geheim op dat momint wei komme kin, en wês earlik oer hokker dêrfan op de host besteane. In persoan by in terminal, in bestân dat auth-user-pass of askpass lêze kin, of in sesjetoken dat de server útjout binne de trije dy’t hjir ta sizze. As net ien fan dy beskikber is, mislearret de werom-ûnderhanneling in oere nei de feroaring, net op it momint dat jo it diene.

Trije foarmen, trije flaters

In buroblêdklant mei in persoan derfoar is it mylde gefal: de oanfraach komt werom, immen typt it wachtwurd opnij, en de kosten binne oandacht. In tsjinst, container of router dy’t OpenVPN sûnder terminal draait is it hurde gefal, want der is nimmen om te antwurdzjen en de werferbining dy’t eartiids stil wie einiget no de tunnel. In hybride sit tusken de twa en hâldt him as it buroblêdgeval oant de sesje dy’t de oanfraach beantwurdzje koe ferdwynt. Wat har skiedt is net oft der in GUI ynstallearre is, mar oft der op it momint fan ’e werom-ûnderhanneling in boarne fan gegevens is.

Byld jo útrôljen op ien fan dy trije ôf foardat jo wat feroarje, want it advys dat jo online fine is hast altyd foar de earste skreaun. It buroblêdantwurd tapasse op in tsjinst sûnder terminal is hoe’t in tunnel dy’t moannen wurke hat elk oere begjint te fallen.

Rjochtline of flagge: kies ien en wittig hokker jo brûkt hawwe

Binnen in profyl is auth-nocache in eigen rigel; by in oprop dy’t in profyl eksplisyt neamd, is it in flagge op dy kommandorigel, en de OpenVPN-hantlieding listet beide foarmen. Beide dogge itselde mei it behâlden fan gegevens, en gjinien rekket it ynterfacetype oan of reparearret in net besibbe warskôging yn deselde log. It ferskil is duorsumens: de flagge jildt allinnich foar dy run, dus in tsjinst dy’t opnij start wurdt fan in unit-bestân of wrapper-skript hat it net, útsein as de wrapper it ek trochjout.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Beslis hokker artefakt de ynstelling besit, feroarje it dêr en nearne oars. In profyl dat op in laptop bewurke is plus in systemd-unit dy’t it mei in flagge oerskriuwt is it pear dat tsjinstridich gedrach jout nei in werstart.

In bestân mei gegevens ferpleatst it geheim ynstee fan it te wiskjen

auth-user-pass nei in bestân wize jout elke lettere werom-ûnderhanneling in boarne, en it set it wachtwurd ek earne dêr’t it werstarts oerlibbet. Freegje wa’t dat bestân lêze kin, oft de daemon it nei it ôfstean fan privileezjes noch lêze kin, en wat der bart as it bestânssysteem allinich-lêzen monteard is of in containerbyld it paad ferberget. In geheim op skiif en in geheim yn it ûnthâld binne ferskillende problemen, en it iene oplosse lit it oare stean. Rotaasje is de stap dy’t oerslein wurdt: in wachtwurd dat op ’e server feroare is mar net yn it bestân jout in flater dy’t as netwurkflater lêzen wurdt.

Hâld it bestân eigendom fan it akkount dat de daemon draait, lêsber foar nimmen oars, en bûten backups dy’t de host ferlitte. De serverside-opsje auth-gen-token fan OpenVPN jout de klant nei in slagge oanmelding in sesjetoken, wat in lytser ding is om lizze te litten as it akkountwachtwurd. Skriuw de rotaasjestap njonken it bestân hoe dan ek, want it bestân oerlibbet meastentiids de persoan dy’t it makke hat.

It rekken fan ’e werom-ûnderhanneling ferpleatst de kosten, it hellet se net wei

It oare foarstel is reneg-sec te ferheegjen oant de oanfraach sa seldsum is dat er negearre wurde kin. Dat skriuwt it skema foar kaairotasjon fan ’e sesje oer en skoot itselde probleem mei gegevens nei in letter, minder foarsisber momint; it makket gjin boarne fan gegevens. In belied dat kaaien neffens in skema fernijt om in reden moat net fersoarge wurde allinnich om it typen fan in wachtwurd te foarkommen.

Test de werferbining, net de sesje dêr’t jo yn sitte, want de libbene sesje bewiist neat. Lit de tunnel fan ’e serverside falle, of start de klantsjinst opnij, en sjoch wat de folgjende werom-ûnderhanneling docht as der nimmen by it toetseboerd is. As er wer ferbyntt, neam dan it meganisme dat it geheim levere; as net, hawwe jo de echte kosten fan ’e opsje op dizze host fûn. Hokker útkomst dan ek jout jo in antwurd dat by in steuring jildt ynstee fan ien dat by testen jilde.

Op in beheard float moat wa’t de útrôljen besit, trije dingen neame kinne: wêr’t de gegevens wei komme, wêr’t se bewarre wurde en wa’t se rotearret. As ien fan dy antwurden de persoan is dy’t de host opsette, is de opsje dêr noch net feilich.