OpenVPN GUI hat myn Windows-wachtwurd bewarre: wêr't it stiet

De ferbiningdialooch biedt in kontrôlefak om de oanmelding te ûnthâlden, en as jo it oanfinkje, ferhúzje de akkountdetails fan 'e holle fan 'e brûker nei de masine. De ynterface seit nea wêr't. Op Windows binne de kandidaten it registergebiet fan 'e hjoeddeiske brûker, in profylbestân dat de oanmelding al befettet, en wat in automatisearringsskript docht. Elk plak hat in oare lêzer, in oare flatermodus en in oare opromming, dus de nuttige fraach is hokker proses it geheim weromfine kin en hoelang. Folgje it kontrôlefak fan 'e dialooch nei bûten ta en beslute dan wat in ferlerne laptop echt bleatleit.

Begjin by it kontrôlefak yn 'e ferbiningdialooch

Unthâlden wearden wurde per profyl en per Windows-akkount bewarre, yn 'e hive fan 'e brûker en net yn in dielde masineopslach. Dêrom sjocht in twadde brûker op deselde kompjûter gjin bewarre oanmelding, en dêrom wisket it opnij ynstallearjen fan 'e klient de bewarre yngong net needsaaklik.

It profylbestân sels bewarret de tsjinner, de poarte en de ynstellingen mar gjin geheim, en dêrom ûndersykje minsken earst it ferkearde artefakt. It wiskjen fan it profyl ferwideret dêrom de ferbining en lit de oanmeldgegevens efter. Dat is de meast foarkommende ferrassing by it opromjen. Ferwiderje beide artefakten, net ien.

Wat de registerwearde ferriedt

De akkountnamme stiet yn lêsbere tekst, dat alles wat as dy brûker rint kin it sûnder spesjale oprop dekodearje. It wachtwurd is oars: it is fersegele mei Windows DPAPI, bûn oan it akkount en, ôfhinklik fan 'e flags, oan 'e spesifike masine. It fersegele blok nei in oare kompjûter bringe en opnij ôfspylje jout dêrom gjin brûkber geheim.

It listjen fan 'e wearden beantwurdet de operasjonele fraach sûnder it geheim sels oan te reitsjen. Der hoecht neat ûntsifere te wurden om te befêstigjen dat in yngong bestiet. De list tsjinnet ek as foar-en-nei-record foar it opromjen.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Twa grinzen fertsjinje om rjochtút neamd te wurden. In proses yn deselde oanmelde sesje kin deselde ûntbeffettingsroutine oanropje dy't de klient brûkt, dat ferseegeljen is beskerming yn rêst en net tsjin in kompromittearre buroblêd. En sûnder folsleine skiiffersifering is de fersegele wearde mar sa privee as de skiif.

As it profylbestân de oanmelding al befettet

Guon portalen jouwe in konfiguraasje mei de akkountnamme en it wachtwurd deryn skreaun, dat de klient ferbynt stil. Op dat stuit is it bestân in wurkjende oanmeldgegevens, en elke kopy derfan is in oare kaai foar deselde doar.

Sokke bestannen einigje yn reservekopyen, chatrieden en syngronisearre mappen, en gjin fan dy kopyen hâldt op mei wurkjen as it orizjineel wiske wurdt. It bewurkjen fan it lokale bestân feroaret neat oan 'e oaren. It weromlûken fan tagong betsjut it wachtwurd op 'e tsjinner feroarje, en dat fluch dwaan. Opromming op ien laptop is in aparte, lytsere taak.

Wêr't in fraach akseptabel is, ferkies dy en brûk de cache-kontrôles fan 'e klient. As in foarôf ynfolle profyl echt nedich is, hâld it bûten syngronisearre mappen en ferwiderje it as it wurk dien is.

Automatisearring ferpleatst it geheim earne oars

Skripts yntrodusearje noch twa kanalen: prosesarguminten en syntetyske toetsôfslaggen. In bestân neamd op in kommandorigel is sichtber foar alles dat prosesarguminten of de rjochten fan it bestân lêze kin, en in wachtwurd typt troch in helpmiddel giet nei it finster dat no fokus hat. Ien publisearre foarbyld typt it buroblêdwachtwurd op dy manier foardat de klient start. In bewarre ienmalige-wachtwurd-sied fertsjinnet deselde soarch, want it kin elke takomstige koade generearje en oerlibbet ien oanmelding.

It bettere patroan bewarret it geheim wêr't allinnich it tsjinstakkount it lêze kin, fertrout op 'e dokumintearre weromprobeare- en oanmeldboarne-opsjes fan 'e klient, en mijt ynjeksje typpen by privileezjefragen. As it skript it buroblêdwachtwurd nedich hat foar ferheging, is dat in fraach fan privileezje-ûntwerp en net fan VPN.

Opromming nei in ferlern apparaat

Lûk it akkount op 'e tsjinner yn of skeakelje it út foar alles oars, want lokaal wiskjen kin in kopy dy't immen al hat net ûnjildich meitsje. Meitsje dan de unthâlden registerwearden skjin, ferwiderje it profyl en alle oanmeldbestannen, en sykje shell-skiednis en skriptmappen ôf nei plakte wachtwurden.

Skriuw op wat ferwidere is en wannear't de tagong einige. Dat pear beantwurdet de iennige fraach dy't in ynsidintresinsje stelt: oft noch in kopy fan 'e oanmeldgegevens wurke nei't it apparaat fuort gie.