Az OpenVPN GUI elmentette a Windows-jelszavamat: hol lakik

A kapcsolati párbeszédablak jelölőnégyzetet kínál a bejelentkezés megjegyzéséhez, és bejelölésekor a fiók adatai a felhasználó fejéből a gépbe kerülnek. A felület soha nem mondja meg, hova. Windowson a jelöltek az aktuális felhasználó beállításjegyzék-területe, egy profilfájl, amely már tartalmazza a bejelentkezést, és az, amit egy automatizáló szkript tesz. Minden helynek más az olvasója, más a hibaformája és más a takarítása, ezért a hasznos kérdés az, hogy melyik folyamat tudja visszaszerezni a titkot, és mennyi ideig. Kövesse a jelölőnégyzetet a párbeszédablakból kifelé, majd döntse el, mit tár fel valójában egy elveszett laptop.

Kezdje a kapcsolati párbeszédablak jelölőnégyzetével

A megjegyzett értékeket profilonként és Windows-fiókonként a felhasználói méhkasban tárolja, nem egy közös gépi tárolóban. Ezért nem lát a második felhasználó ugyanazon a számítógépen mentett bejelentkezést, és ezért nem törli feltétlenül a kliens újratelepítése a tárolt bejegyzést.

Maga a profilfájl a szervert, a portot és a beállításokat tárolja, de titkot nem, ezért az emberek először a rossz tárgyat vizsgálják. A profil törlése tehát eltávolítja a kapcsolatot, és itt hagyja a hitelesítő adatot. Ez a takarítás leggyakoribb meglepetése. Távolítsa el mindkét tárgyat, ne csak egyet.

Mit árul el a beállításjegyzék értéke

A fióknév olvasható szövegben van, így bármi, ami az adott felhasználóként fut, különleges hívás nélkül dekódolhatja. A jelszó más: Windows DPAPI-val van lepecsételve, a fiókhoz és a jelzőktől függően az adott géphez kötve. Ezért a lepecsételt blokk másik számítógépre vitele és újrajátszása nem ad használható titkot.

Az értékek listázása megválaszolja a működési kérdést anélkül, hogy hozzányúlna magához a titokhoz. Semmit nem kell visszafejteni ahhoz, hogy megerősítsük egy bejegyzés létezését. A lista a takarítás előtti és utáni feljegyzésként is szolgál.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Két korlátot érdemes nyíltan kimondani. Egy folyamat ugyanazon bejelentkezett munkameneten belül ugyanazt a védelemfeloldó rutint hívhatja, amelyet a kliens használ, ezért a lepecsételés nyugalmi védelem, nem pedig feltört asztal elleni védelem. És teljes lemeztitkosítás nélkül a lepecsételt érték csak annyira privát, mint a lemez.

Amikor a profilfájl már tartalmazza a bejelentkezést

Egyes portálok olyan konfigurációt adnak, amelybe a fióknevet és a jelszót beleírták, így a kliens csendben csatlakozik. Ekkor a fájl működő hitelesítő adat, és minden másolata újabb kulcs ugyanahhoz az ajtóhoz.

Az ilyen fájlok biztonsági mentésekbe, csevegésszálakba és szinkronizált mappákba kerülnek, és egyik másolat sem hagyja abba a működést, amikor az eredetit törlik. A helyi fájl szerkesztése semmit nem változtat a többin. A hozzáférés visszavonása a jelszó szerveren történő megváltoztatását jelenti, mégpedig haladéktalanul. Az egy laptopon végzett takarítás külön, kisebb feladat.

Ahol egy kérés elfogadható, részesítse előnyben, és használja a kliens gyorsítótárazási vezérlőit. Ha valóban szükség van előre kitöltött profilra, tartsa szinkronizált mappákon kívül, és távolítsa el, amikor a munka véget ér.

Az automatizálás máshová viszi a titkot

A szkriptek két további csatornát vezetnek be: a folyamatargumentumokat és a szintetikus billentyűleütéseket. A parancssorban megnevezett fájl látható mindennek, ami olvasni tudja a folyamat argumentumait vagy a fájl jogosultságait, a szerszám által beírt jelszó pedig abba az ablakba megy, amelyiknek éppen fókusza van. Egy közzétett példa így írja be az asztali jelszót a kliens indítása előtt. A tárolt egyszeri jelszómag ugyanazt a gondosságot érdemli, mert minden jövőbeli kódot elő tud állítani, és túlél egyetlen bejelentkezést.

A jobb minta ott tárolja a titkot, ahol csak a szolgáltatásfiók olvashatja, a kliens dokumentált újrapróbálkozási és hitelesítőadat-forrás opcióira támaszkodik, és elkerüli a befecskendezett gépelést a jogosultságkéréseknél. Ha a szkriptnek az emeléshez az asztali jelszóra van szüksége, az jogosultságtervezési kérdés, nem VPN-kérdés.

Takarítás elveszett eszköz után

Először vonja vissza vagy tiltsa le a fiókot a szerveren, mert a helyi törlés nem tudja érvényteleníteni azt a másolatot, amely már valakinél van. Ezután törölje a megjegyzett beállításjegyzék-értékeket, távolítsa el a profilt és minden hitelesítőadat-fájlt, és keresse a beillesztett jelszavakat a héj előzményeiben és a szkriptkönyvtárakban.

Írja le, mi lett eltávolítva, és mikor ért véget a hozzáférés. Ez a pár válaszol az incidensvizsgálat egyetlen kérdésére: működött-e még a hitelesítő adat valamely másolata, miután az eszköz elment.