OpenVPN GUI שמר את סיסמת ה-Windows שלי: איפה היא נמצאת

תיבת הדו-שיח של החיבור מציעה תיבת סימון לזכור את ההתחברות, וסימונה מעביר את פרטי החשבון מראשו של המשתמש אל המכונה. הממשק אף פעם לא אומר היכן. ב-Windows המועמדים הם אזור הרישום של המשתמש הנוכחי, קובץ פרופיל שכבר נושא את ההתחברות, ומה שסקריפט אוטומציה עושה. לכל מיקום יש קורא אחר, אופן כשל אחר וניקוי אחר, ולכן השאלה המועילה היא איזה תהליך יכול לשחזר את הסוד ולכמה זמן. עקבו אחרי תיבת הסימון מתוך תיבת הדו-שיח החוצה, ואז החליטו מה מחשב נייד אבוד באמת חושף.

התחילו מתיבת הסימון בתיבת הדו-שיח של החיבור

ערכים שנזכרו נשמרים לפי פרופיל ולפי חשבון Windows, בכילת המשתמש ולא במאגר מכונה משותף. לכן משתמש שני באותו מחשב אינו רואה התחברות שמורה, ולכן התקנה מחדש של הלקוח אינה מוחקת בהכרח את הרשומה השמורה.

קובץ הפרופיל עצמו שומר את השרת, היציאה וההגדרות אבל לא סוד, ולכן אנשים בודקים קודם את הפריט הלא נכון. מחיקת הפרופיל מסירה אפוא את החיבור ומשאירה את אישור הגישה מאחור. זו ההפתעה הנפוצה ביותר בזמן הניקוי. הסירו את שני הפריטים, לא אחד.

מה חושף ערך הרישום

שם החשבון מופיע בטקסט קריא, כך שכל דבר שרץ בתור אותו משתמש יכול לפענח אותו בלי קריאה מיוחדת. הסיסמה שונה: היא חתומה ב-Windows DPAPI, קשורה לחשבון ותלוי בדגלים גם למכונה המסוימת. לכן העברת הבלוק החתום למחשב אחר והרצתו מחדש אינה מפיקה סוד שמיש.

רישום הערכים עונה על השאלה התפעולית בלי לגעת בסוד עצמו. אין צורך לפענח דבר כדי לאשר שרשומה קיימת. הרשימה משמשת גם כתיעוד לפני ואחרי לניקוי.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

שני גבולות ראויים להיאמר בפשטות. תהליך בתוך אותה הפעלה מחובר יכול לקרוא לאותה שגרת הסרת הגנה שהלקוח משתמש בה, ולכן החתימה היא הגנה במנוחה ולא מפני שולחן עבודה שנפרץ. ובלי הצפנת דיסק מלאה, הערך החתום פרטי רק כמו הדיסק.

כשקובץ הפרופיל כבר מכיל את ההתחברות

כמה פורטלים מספקים תצורה ששם החשבון והסיסמה כתובים בה, ולכן הלקוח מתחבר בשקט. בשלב הזה הקובץ הוא אישור גישה עובד, וכל עותק שלו הוא מפתח נוסף לאותה דלת.

קבצים כאלה מגיעים לגיבויים, לשרשורי צ'אט ולתיקיות מסונכרנות, ואף אחד מהעותקים האלה לא מפסיק לעבוד כשהמקור נמחק. עריכת הקובץ המקומי לא משנה דבר באחרים. ביטול גישה פירושו שינוי הסיסמה בשרת, ועשייה מהירה. ניקוי במחשב נייד אחד הוא משימה נפרדת וקטנה יותר.

היכן שבקשה מקובלת, העדיפו אותה והשתמשו בבקרות המטמון של הלקוח. אם באמת נדרש פרופיל מלא מראש, החזיקו אותו מחוץ לתיקיות מסונכרנות והסירו אותו כשהעבודה נגמרת.

אוטומציה מעבירה את הסוד למקום אחר

סקריפטים מוסיפים שני ערוצים נוספים: ארגומנטים של תהליך והקשות מקלדת מלאכותיות. קובץ שנקרא בשורת פקודה גלוי לכל שיכול לקרוא את ארגומנטי התהליך או את הרשאות הקובץ, וסיסמה שהוקלדה על ידי כלי הולכת לחלון שיש לו את המיקוד כרגע. דוגמה שפורסמה מקלידה את סיסמת שולחן העבודה בדרך זו לפני הפעלת הלקוח. זרע סיסמה חד-פעמית שמור ראוי לאותה זהירות, כי הוא יכול ליצור כל קוד עתידי ושורד התחברות אחת.

התבנית הטובה יותר משומרת את הסוד במקום שרק חשבון השירות יכול לקרוא אותו, נשענת על אפשרויות הניסיון החוזר ומקור אישור הגישה המתועדות של הלקוח, ונמנעת מהקלדה מוזרקת בהנחיות הרשאה. אם הסקריפט צריך את סיסמת שולחן העבודה לצורך הרמה, זו שאלת עיצוב הרשאות ולא שאלת VPN.

ניקוי לאחר מכשיר שאבד

בטלו או השביתו את החשבון בשרת לפני כל דבר אחר, כי מחיקה מקומית אינה יכולה לבטל עותק שכבר יש למישהו. אחר כך נקו את ערכי הרישום שנזכרו, הסירו את הפרופיל וכל קובצי אישור גישה, וחפשו סיסמאות שהודבקו בהיסטוריית המעטפת ובתיקיות הסקריפטים.

רשמו מה הוסר ומתי הסתיימה הגישה. הזוג הזה עונה על השאלה היחידה שסקירת תקרית שואלת: האם עותק כלשהו של אישור הגישה עדיין עבד אחרי שהמכשיר עזב.