Akadályozza meg, hogy a NetworkManager megjelenítse a mentett VPN-jelszót

A NetworkManager képes VPN-jelszót tárolni, hogy a kapcsolat mindenki gépelése nélkül létrejöjjön, és képes ezt az értéket újra megjeleníteni a szerkesztőn vagy a nmcli --show-secrets segítségével. Három tulajdonosi modell érhető el, és a megjelenítési viselkedés csak annak a tünete, melyiket választotta. Először válassza ki a modellt, majd állítsa be a hozzá illő jelzőt, ahelyett hogy egy helyőrzővel elrejtene egy mezőt, ami összezavarja a következő embert.

Három tulajdonosi modell

Az első modell minden alkalommal kérdez. Semmi nem tárolódik, a titok csak az aktiválás idejéig létezik, és mindenkinek, aki elindítja a kapcsolatot, ismernie kell a jelszót. Ez a legkevésbé kényelmes lehetőség és a legkönnyebben megvédhető.

A második a titkot a felhasználó tulajdonában lévő kulcstartónak adja. Az ügynök a munkamenet kezdetekor felold, és kérésre szolgáltatja az értéket, ami a kapcsolatfájlon kívül tartja, de a kapcsolatot az adott felhasználó munkamenetéhez köti. Ebből két feltétel következik: az ügynöknek futnia kell, és fel kell oldania.

A harmadik védett hitelesítő adatot tárol egy rendszerkapcsolathoz. Túléli az újraindításokat, és bárki bejelentkezése előtt működik, cserébe az érték a lemezen fájljogosultságokkal védve fekszik, nem titkosítással.

Minden modell észszerű a megfelelő összefüggésben. A hiba az, ha összekeveri őket, és így egy laptopon a titok két helyen lesz, világos válasz nélkül arra, melyik a mérvadó. Írja le, melyik modellt használja egy profil. Egyetlen sor a csapat kézikönyvében megkíméli a következő embert attól, hogy kitaláljon egy negyedik keresési helyet.

Olvassa el a jelenlegi állapotot, mielőtt megváltoztatja

Nézze meg a profilt és a titok állapotát a kapcsolatot kezelő felhasználóként. A második parancs az, amely megmondja, valóban olvasható-e az érték.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Az abban a könyvtárban lévő kulcsfájl általában root tulajdonában van 600-as móddal. Ez kizárja a hétköznapi felhasználókat, a rootot viszont nem zárja ki, ami akkor számít, ha ugyanaz a gép megosztott, vagy ha a biztonsági mentés rootként fut.

A fájljogosultságok határvonalat jelentenek, nem titkosítást. Aki rootként olvashatja a fájlt, az nyílt szövegben látja a jelszót. Ez elfogadható csere egy felügyelet nélküli kiszolgáló esetében, és rossz egy megosztott munkaállomáson. Egyszeri leírása megelőz egy hosszú vitát arról, védett-e az érték.

Mit tesz az egyes jelzőértékekkel

A VPN-titok rendelkezik egy flags tulajdonsággal, és az értékek nem magától értetődők pusztán a számokból.

A tényleges viselkedés a bővítménytől és attól is függ, fut-e ügynök, ezért tekintse a táblázatot a szerződésnek, a megfigyelt viselkedést pedig annak, amit ellenőriz. Egy asztali gépen működő érték másként viselkedhet egy munkamenet nélküli kiszolgálón. Ebben a résben él a zavaros jegyek többsége.

Állítsa be a tulajdonságot kifejezetten, ahelyett hogy törölne egy sort és reménykedne. A hiányzó jelző nem szabályzat, és a következő csomagfrissítés olyasmivel töltheti ki, amit nem szándékozott.

Illessze a modellt ahhoz, amikor a kapcsolat elindul

Ha a kapcsolat csak akkor indul el, amikor egy felhasználó be van jelentkezve, az ügynök-tulajdon jól illik, és a titkot a fájlon kívül tartja. Ha indításkor, bármilyen munkamenet előtt indul el, egy ügynök nem tud segíteni.

Ez a teljes döntés a legtöbb gépnél. Ez magyarázza a zavaros jelentések egy osztályát is, ahol a kapcsolat interaktívan működik, és újraindítás után meghiúsul. A jelző soha nem változott; a környezet igen.

A felügyelet nélküli esetben a gyakorlati válasz egy korlátozott, root-tulajdonú fájl vagy egy jóváhagyott hitelesítőadat-forrás. Tartsa a kapcsolatprofilon kívül, ha azt a profilt valaha exportálják vagy más gépre másolják.

Ha az érték már látható volt, cserélje le

A jelző módosítása érintetlenül hagyja magát a jelszót. Az olyan értéket, amely képernyőképen, a shell előzményeiben, a támogatásnak küldött csomagban vagy más felhasználók által megnyitható fájlban bukkant fel, nyilvánosságra kerültnek kell tekinteni.

Cserélje le a kiszolgálón, majd javítsa a klienst, és szüntessen meg minden munkamenetet, amely a régivel hitelesített. A helyi kapcsolat törlése a túloldalon semmit nem von vissza, és éppen ezt szokták kihagyni.

Utána hagyja abba a jelszó parancssorba írását. Belekerül a shell előzményeibe, és megjelenhet a folyamatlistában; használja inkább az interaktív kérést vagy az ügynököt.

Ellenőrizze újracsatlakozással

Ismételje meg a titkot megjelenítő parancsot, és győződjön meg arról, hogy a mező már nem jelenik meg. Ezután bontsa a kapcsolatot és csatlakozzon újra, és indítsa újra a gépet, ha a kapcsolat automatikusan indul, mert az érdekes hiba csak a munkamenet-környezet változásakor jelenik meg.

Ha a titok továbbra is megjelenik, egy másik profil vagy egy másik ügynök szolgáltatja. Vizsgálja meg az aktív kapcsolatot és a kulcstartót, ahelyett hogy fájlokat törölne, amíg a tünet el nem mozdul.