Zaustavite NetworkManager u prikazivanju spremljene VPN lozinke

NetworkManager može držati VPN lozinku tako da se veza podigne bez ikakva upisivanja, a tu vrijednost može ponovno prikazati kroz uređivač ili kroz nmcli --show-secrets. Dostupna su tri modela vlasništva, a ponašanje prikaza samo je simptom onoga koji ste odabrali. Prvo odaberite model, a zatim postavite zastavicu koja mu odgovara, umjesto da skrivate polje rezervnim tekstom koji će zbuniti sljedeću osobu.

Tri modela vlasništva

Prvi model pita svaki put. Ništa se ne čuva, tajna postoji samo dok traje aktivacija, i svatko tko pokrene vezu mora znati lozinku. To je najmanje udobna opcija i najlakša za obranu.

Drugi predaje tajnu privjesku ključeva koji posjeduje korisnik. Agent se otključava kad sesija počne i dostavlja vrijednost na zahtjev, što je drži izvan datoteke veze ali veže vezu za sesiju tog korisnika. Iz toga slijede dva uvjeta: agent mora raditi i mora biti otključan.

Treći čuva zaštićene akreditive za sistemsku vezu. Preživljava ponovna pokretanja i radi prije nego se bilo tko prijavi, a zauzvrat vrijednost leži na disku čuvana dozvolama datoteke, a ne šifriranjem.

Svaki je model razuman u pravom kontekstu. Greška je miješati ih, jer tako prijenosnik završi s tajnom na dva mjesta i bez jasnog odgovora koja je mjerodavna. Zapišite koji model profil koristi. Jedan redak u timskom priručniku spašava sljedeću osobu od izmišljanja četvrtog mjesta za traženje.

Pročitajte trenutačno stanje prije promjene

Pogledajte profil i stanje tajne kao korisnik koji upravlja vezom. Druga naredba je ona koja vam kaže je li vrijednost doista čitljiva.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Datoteka s ključem u tom direktoriju obično je vlasništvo roota s načinom 600. To drži obične korisnike vani i ne drži root vani, što je važno kad je isti računalo dijeljeno ili kad sigurnosna kopija radi kao root.

Dozvole datoteke su granica, a ne šifriranje. Svatko tko može pročitati datoteku kao root ima lozinku u čistom tekstu. To je prihvatljiva razmjena za poslužitelj bez nadzora i loša za dijeljenu radnu stanicu. Jednom zapisano sprječava dugu raspravu o tome je li vrijednost zaštićena.

Što radi svaka vrijednost zastavice

VPN tajna nosi svojstvo flags, a vrijednosti nisu intuitivne samo iz brojeva.

Stvarno ponašanje zavisi i od priključka i od toga radi li agent, pa tablicu tretirajte kao ugovor, a zapaženo ponašanje kao ono što provjeravate. Vrijednost koja radi na jednoj radnoj površini može se ponašati drukčije na poslužitelju bez sesije. U tom jazu živi većina zbunjujućih prijava.

Postavite svojstvo izričito umjesto da brišete redak i nadate se. Odsutna zastavica nije politika, a sljedeće ažuriranje paketa može je popuniti nečim što niste namjeravali.

Uskladite model s trenutkom kad veza počinje

Ako veza počinje samo dok je korisnik prijavljen, vlasništvo agenta dobro pristaje i drži tajnu izvan datoteke. Ako počinje pri podizanju sustava, prije nego postoji ikakva sesija, agent vam ne može pomoći.

To je cijela odluka za većinu računala. To objašnjava i klasu zbunjujućih izvještaja gdje veza radi interaktivno i ne uspije nakon ponovnog pokretanja. Zastavica se nikad nije promijenila; kontekst se promijenio.

Za slučaj bez nadzora praktičan je odgovor ograničena datoteka u vlasništvu roota ili odobren izvor akreditiva. Držite je izvan profila veze ako se taj profil ikad izveze ili kopira na drugo računalo.

Ako je vrijednost već bila vidljiva, zamijenite je

Promjena zastavice ne dira samu lozinku. Vrijednost koja se pojavila na snimci zaslona, u povijesti shell-a, u paketu poslanom podršci ili u datoteci koju su drugi korisnici mogli otvoriti treba smatrati otkrivenom.

Promijenite je na poslužitelju, zatim popravite klijenta i prekinite svaku sesiju koja se autentificirala starom. Brisanje lokalne veze ne opoziva ništa na drugoj strani, i to je dio koji ljudi propuštaju.

Zatim prestanite stavljati lozinku na naredbeni redak. Ona završi u povijesti shell-a i može se pojaviti u popisu procesa; koristite interaktivni upit ili agenta.

Provjerite ponovnim povezivanjem

Ponovite naredbu koja je pokazala tajnu i potvrdite da se polje više ne ispisuje. Zatim se odspojite i ponovno spojite, a ako se veza pokreće automatski, ponovno pokrenite sustav, jer se zanimljiv kvar pojavljuje samo kad se promijeni kontekst sesije.

Ako se tajna i dalje pojavljuje, dostavlja je drugi profil ili drugi agent. Pregledajte aktivnu vezu i privjesak ključeva umjesto da brišete datoteke dok se simptom ne pomakne.