OpenVPN GUI gardou o meu contrasinal de Windows: onde está

O diálogo de conexión ofrece unha caixa para recordar o inicio de sesión, e ao marcala os datos da conta saen da cabeza do usuario e pasan á máquina. A interface nunca di onde. En Windows, os candidatos son a área do rexistro do usuario actual, un ficheiro de perfil que xa leva o inicio de sesión e o que faga un script de automatización. Cada localización ten un lector distinto, un modo de fallo distinto e unha limpeza distinta, así que a pregunta útil é que proceso pode recuperar o segredo e durante canto tempo. Segue a caixa desde o diálogo cara a fóra e logo decide que expón realmente un portátil perdido.

Comeza pola caixa do diálogo de conexión

Os valores recordados gárdanse por perfil e por conta de Windows, na colmea do usuario e non nun almacén compartido da máquina. Por iso un segundo usuario no mesmo ordenador non ve ningún inicio de sesión gardado, e por iso reinstalar o cliente non borra necesariamente a entrada almacenada.

O ficheiro de perfil garda o servidor, o porto e a configuración, pero ningún segredo, e por iso a xente inspecciona primeiro o artefacto equivocado. Borrar o perfil elimina por tanto a conexión e deixa a credencial atrás. Esa é a sorpresa máis habitual durante a limpeza. Elimina ambos os artefactos, non un.

Que revela o valor do rexistro

O nome da conta está en texto lexible, así que calquera cousa que se execute como ese usuario pode decodificalo sen ningunha chamada especial. O contrasinal é distinto: está selado con Windows DPAPI, ligado á conta e, segundo os indicadores, á máquina concreta. Por tanto, trasladar o bloque selado a outro ordenador e reproducilo non produce un segredo utilizábel.

Listar os valores responde á pregunta operativa sen tocar o segredo. Non hai que descifrar nada para confirmar que existe unha entrada. A listaxe serve tamén como rexistro de antes e despois para a limpeza.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dous límites merecen dicirse claramente. Un proceso dentro da mesma sesión iniciada pode chamar a mesma rutina de desprotección que usa o cliente, así que o selado é protección en repouso e non contra un escritorio comprometido. E sen cifrado de disco completo, o valor selado é tan privado como o disco.

Cando o ficheiro de perfil xa contén o inicio de sesión

Algúns portais entregan unha configuración co nome de conta e o contrasinal escritos dentro, así que o cliente se conecta en silencio. Nese momento o ficheiro é unha credencial que funciona, e cada copia del é outra chave para a mesma porta.

Eses ficheiros acaban en copias de seguridade, fíos de chat e cartafoles sincronizados, e ningunha desas copias deixa de funcionar cando se borra o orixinal. Editar o ficheiro local non cambia nada nos demais. Revogar o acceso significa cambiar o contrasinal no servidor, e facelo con prontitude. A limpeza nun só portátil é unha tarefa aparte e máis pequena.

Onde un aviso sexa aceptábel, prefíreo e usa os controis de caché do cliente. Se un perfil preenchido é realmente necesario, manteno fóra dos cartafoles sincronizados e retírao cando remate o traballo.

A automatización move o segredo a outro lugar

Os scripts introducen dous canles máis: argumentos de proceso e pulsacións sintéticas. Un ficheiro nomeado nunha liña de comandos é visible para todo o que poida ler os argumentos do proceso ou os permisos do ficheiro, e un contrasinal escrito por unha ferramenta vai á xanela que ten o foco. Un exemplo publicado escribe o contrasinal do escritorio dese xeito antes de lanzar o cliente. Unha semente de contrasinal dun só uso almacenada merece o mesmo coidado, porque pode xerar cada código futuro e sobrevive a un só inicio de sesión.

O patrón mellor garda o segredo onde só a conta de servizo pode lelo, apóiase nas opcións documentadas do cliente de reintento e orixe de credenciais, e evita a escritura inxectada nos avisos de privilexios. Se o script necesita o contrasinal do escritorio para elevar privilexios, iso é unha cuestión de deseño de privilexios, non de VPN.

Limpeza tras un dispositivo perdido

Revoga ou desactiva a conta no servidor antes que nada, porque o borrado local non pode invalidar unha copia que alguén xa ten. Despois borra os valores recordados do rexistro, elimina o perfil e calquera ficheiro de credenciais, e busca contrasinais pegados no historial da consola e nos directorios de scripts.

Anota que se eliminou e cando rematou o acceso. Ese par responde á única pregunta que fai unha revisión de incidentes: se algunha copia da credencial seguía funcionando despois de que o dispositivo marchase.