ProtectHome i gcoinne síl TOTP: cén fáth a dteipeann ar logáil isteach VPN

Taispeánann an fíordheimhneoir cód nua sé dhigit, diúltaíonn an VPN dó, agus dearbhaítear an cód céanna go breá nuair a thástáilann tú ó do bhlaosc féin. Is é an bhearna sin an scéal ar fad. Filleann modúl PAM nach féidir leis an rún clárúcháin a oscailt teip atá cosúil go díreach le cód mícheart, agus is é an timpeallacht seirbhíse a cheiltíonn eolairí baile an chúis is coitianta leis sin. Sula scaoilfidh tú aon chead, socraigh cé acu de thrí chás atá agat.

Cé acu de na trí theip é seo?

Is é an chéad cheann rún nach féidir leis an modúl a léamh ar chor ar bith. Is é an dara ceann rún is féidir leis a léamh ach nach féidir leis a nuashonrú. Is é an tríú ceann cód atá mícheart i ndáiríre, de ghnáth mar gheall ar dhiall an chloig nó luach athsheinm.

Deighil iad trí dhiall na seirbhíse agus loga fíordheimhneacháin an chórais a léamh d'aon iarracht amháin a theip, ansin deimhnigh cén tseirbhís PAM a lódálann an breiseán agus cén líne mhodúil a úsáideann an tseirbhís sin. Ní dhéanann teachtaireacht ghinearálta teipe fíordheimhneacháin idirdhealú orthu, ná tástáil láimhe rathúil, mar ní hé do bhlaosc timpeallacht na seirbhíse.

Is é radharc chóras comhad an aonaid an ciontóir is gnách nuair nach dteipeann ach an tseirbhís.

systemctl show -p ProtectHome -p ProtectSystem -p ReadWritePaths [email protected]
ls -l /var/lib/vpn-otp/*/.google_authenticator 2>/dev/null | head -n 20

Rogha A: bog an rún amach as an eolaire baile

Nuair a cheiltíonn an tseirbhís /home agus is fearr leat an chosaint sin a choinneáil, stóráil an rún áit a bhfeiceann sí é. Glacann an modúl le cosán secret= agus le cuntas user= a dhéanann na hoibríochtaí comhad, rud a ligeann do stór lárnach freastal ar go leor féiniúlachtaí.

Seo an rogha néata, agus í an ceann a theastaíonn an chúram is mó, mar déanann stór comhroinnte aon eolaire amháin ina theorainn slándála do gach cuntas.

auth required pam_google_authenticator.so secret=/var/lib/vpn-otp/${USER}/.google_authenticator user=vpn-otp

Seiceáil trí rud sula muiníonn tú as: tá an cuntas ann, is féidir le próiseas oibre an mhodúil aistriú chuige, agus is leis na comhaid le móid shriantacha. Ná húsáid ~ ná cosán le hathróg bhaile in éineacht le user=, agus ná cuir seiceálacha úinéireachta an mhodúil as chun cosán a chur ag obair. Coinnigh céim an phasfhocail agus an chuid eile den stac slán.

Rogha B: fág an comhad agus oscail cosán

Má chaithfidh an rún fanacht in eolaire baile an úsáideora, teastaíonn radharc ón aonad a chuimsíonn an t-aon eolaire sin gan gach eolaire baile ar an óstach a nochtadh. Is féidir le drop-in feistiú ceangail cúng a chur faoi eolaire baile sandboxáilte.

Coinníonn sé seo úinéireacht in aghaidh an úsáideora mar mhúnla, ar chostas athraithe aonaid nach mór a athbhreithniú gach uair a athraíonn an sandbox.

Is furasta dhá theorainn a fháil ar iarraidh. Ní nochtann cosán inléite amháin a chuirtear faoi eolaire a cheiltíonn an sandbox é, mar níl an tuismitheoir ann ar chor ar bith. Agus caithfidh an feistiú a bheith inscríofa má tá ar an modúl an staid a nuashonrú, rud a thugann an chéad rogha eile isteach. Scríobh an drop-in mar chomhad ar leith seachas an t-aonad pacáistithe faoi /usr/lib a chur in eagar, ionas nach gcuirfidh uasghrádú pacáiste ar neamhní go ciúin é.

Rogha C: coinnigh an sandbox agus deisigh scríbhinní staid

Ní hé léamh an rúin ach leath an fhíordheimhneacháin. Féadfaidh an modúl faisnéis diall ama, cosaint athsheinm nó áiritheoir a athscríobh, agus féadfaidh comhad a éiríonn leis an tseiceáil léite teip ar an scríbhinn fós.

Breathnaíonn an teip sin cosúil le droch-chód ag an gcéad iarracht eile seachas ag an gceann seo, agus sin an fáth a ndéantar dearmad uirthi mar dhiall an chloig.

Tabhair eolaire inscríofa dá chuid féin dó agus seol cosán an rúin ansin, seachas an eolaire baile ar fad a dhéanamh inscríofa. Deimhnigh úinéir an eolaire, spás saor an chórais comhad agus an gcuingríonn an t-aonad scríbhinní in áiteanna eile. Ansin tástáil dhá logáil isteach as a chéile, mar cruthaíonn an dara ceann an cosán scríbhneoireachta agus ní chruthaíonn an chéad ceann ach an léitheoireacht.

Fíoraigh mar an tseirbhís, ní mar thú féin

Caithfidh gach seiceáil atá tábhachtach rith taobh istigh de sandbox an aonaid le féiniúlacht an aonaid.

Deir ordú a éiríonn le root leat go bhfuil an comhad ann agus ní deir sé aon rud eile. Deir logáil isteach tríd an bhfíorseirbhís leat an féidir leis an modúl an rún a léamh, a úsáid agus an rud a theastaíonn uaidh a athscríobh.

Ar deireadh, coinnigh an ceanglas slán. Chuirfeadh rogha pasfhocail nialais, glacadh le teipeanna inléite amháin nó an sandbox a bhaint deireadh leis an symptom trí an pholasaí a athrú. Ba cheart úsáideoir a gceanglaítear air cód a chur i láthair a dhiúltú fós nuair nach féidir teacht ar an rún.