auth-nocache-ը հավատարմագրերի ֆայլով. օգնո՞ւմ է, թե՞ վնասում

OpenVPN գործարկման պահին տպում է նախազգուշացում, որն առաջարկում է auth-nocache, և գայթակղիչ պատասխանը տարբերակն ավելացնելն ու տողի անհետանալը դիտելն է։ Այդ խորհուրդը ենթադրում է ինտերակտիվ մուտք։ Հենց որ օգտանունն ու գաղտնաբառը ապրում են ֆայլում, համեմատությունը փոխվում է. տարբերակը դադարում է պաշտպանել մշտական պատճենը, և արտոնություններից հրաժարվող հաճախորդի վրա այն կարող է ավելի ուշ կոտրել վերաբանակցումը։ Արժե երկու պահպանման մոդելները առանձին պահել նախքան պրոֆիլը խմբագրելը։

Հավատարմագրերի հարցմանը պատասխանելու երկու եղանակ

Առաջին մոդելը մարդն է, որը հավատարմագրերը մուտքագրում է տերմինալում, կամ կառավարման ինտերֆեյս, որը դրանք պահում է նստաշրջանի համար։ OpenVPN-ը պահում է այդ պատճենը, որպեսզի պատասխանի հաջորդ վերաբանակցմանը՝ առանց նորից հարցնելու, և նախազգուշացումը հենց դրա մասին է։ Սկավառակի վրա ոչինչ ներգրավված չէ, ուստի պաշտպանելու միակ բանը արժեքը պահող գործընթացն է։ Փակեք հաճախորդը, և պատճենը կանհետանա նրա հետ։

Երկրորդ մոդելը auth-user-pass է, որը ցույց է տալիս ֆայլի վրա, որտեղ ֆայլը պահոցն է, և հաճախորդը կարդում է այն, երբ արժեք է անհրաժեշտ։ Այստեղ կարևոր բացահայտումը ոչ թե գործընթացի հիշողությունն է, այլ այդ ֆայլի թույլտվություններն ու սեփականությունը։ Գործարկման նախազգուշացումը գալիս է կարգավորման հրահանգներից, ոչ թե նրանից, թե ինչպես եք տալիս գաղտնաբառը, ուստի այն հայտնվում է երկու մոդելներում և չի մատնանշում ոչ մեկը։

Այս համեմատության մնացածը բխում է այդ բաժանումից. հիշողության կառավարում մեկ մոդելի համար, ֆայլի կառավարում և գործընթացի ինքնություն մյուսի համար։

Ինչ է իրականում դեն նետում auth-nocache-ը

Ինտերակտիվ մուտքի դեպքում --auth-nocache հեռացնում է պահված պատճենը հիշողությունից այն օգտագործելուց հետո։ Գինը նոր հարցումն է յուրաքանչյուր վերաբանակցման միջակայքում, քանի որ հաջորդ փուլը չի կարող վերօգտագործել դեն նետվածը։

Ֆայլի վրա հիմնված մուտքի դեպքում հաճախորդը կարող է նորից կարդալ ֆայլը, ուստի դեն նետումը հիմնականում անտեսանելի է։ Այն տեսանելի է դառնում այն միակ տեղում, որտեղ մարդիկ չեն սպասում. այն բանից հետո, երբ դեմոնը հրաժարվում է արտոնություններից, եթե հավատարմագրերի ֆայլը ընթեռնելի չէ այն հաշվի համար, որի ներքո այն հիմա աշխատում է։

Ավելացրեք տարբերակը, որովհետև հասկանում եք այդ փոխանակումը, ոչ թե որովհետև նախազգուշացում հայտնվեց։ Տարբերակը, որ ավելացվում է մատյանը հանգստացնելու համար, այն տարբերակն է, որի ազդեցությունը ոչ ոք չի չափել։

Որտեղ է կոտրվում ֆայլի վրա հիմնված ուղին

Այն հաճախորդը, որը սկսում է որպես root՝ թունելի սարքը բացելու համար, ապա անցնում է user և group -ի, երկու անգամ է կարդում հավատարմագրերի ֆայլը. մեկ անգամ անցումից առաջ, մեկ անգամ հաջորդող վերաբանակցման ժամանակ։ Եթե ֆայլը 600 ռեժիմում է և պատկանում է root-ին, երկրորդ ընթերցումը ձախողվում է, և ձախողումը մեկ ժամ անց ի հայտ է գալիս որպես նույնականացման սխալ, որը նման է սերվերի խնդրի։ Ստուգեք հաճախորդի մատյանը վերաբանակցման միջակայքի շուրջ, ապա ստուգեք հաշիվն ու ֆայլը միասին։

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Երկու տողերն էլ կարևոր են։ Առաջինը ասում է, թե ով կարող է կարդալ ֆայլը, երկրորդը՝ թե ով է իրականում աշխատող դեմոնը, և նրանց միջև անհամապատասխանությունը բացատրում է ձախողում, որը գաղտնաբառի ոչ մի վերամուտքագրում չի ուղղի։

Գործնական ուղղումները փայլուն չեն. տեղափոխեք ֆայլը այնպիսի թղթապանակ և սեփականատեր, որոնք դեմոնի հաշիվը կարող է կարդալ, կամ պահեք արտոնյալ ընթերցումը և հաստատեք, որ ձեր հաճախորդը կարդում է միայն մեկ անգամ։ Մի լուծեք այն՝ ֆայլը բոլորի համար ընթեռնելի դարձնելով։

Այն դեպքը, որ իսկապես ուզում է տարբերակը

Մեկանգամյա կոդ կրող մուտքը ուզում է auth-nocache այլ պատճառով։ Մեկանգամյա կոդը ծախսվում է առաջին նույնականացմամբ, ուստի քեշավորված պատճենն անօգուտ է հաջորդ վերաբանակցման ժամանակ, և հնացած արժեքը նույնիսկ կարող է կրկնարկվել։

Սա հարց է հավատարմագրի տեսակի մասին, ոչ այն մասին, թե որտեղ է այն պահվում։ Պաշտպանված ֆայլում ստատիկ գաղտնաբառն ունի հակառակ պրոֆիլը. այն պետք է ընթեռնելի լինի յուրաքանչյուր վերաբանակցման ժամանակ, և անհրաժեշտ պաշտպանությունը ֆայլի վրա է։

Այս երկու պատճառները առանձին պահեք պրոֆիլի մեկնաբանություններում, այլապես հաջորդ ադմինիստրատորը կենթադրի, որ տարբերակը այնտեղ է այն պատճառով, որ ինքը կընտրեր։

Համեմատությունը մեկ որոշման մեջ

Ընտրեք ինտերակտիվ մոդելը, երբ մարդը ներկա է և թարմությունը կարևոր է, և ընդունեք կրկնվող հարցումը որպես դրա գին։ Ընտրեք ֆայլի մոդելը, երբ հաճախորդն աշխատում է առանց հսկողության, և ջանքը ծախսեք սեփականության, ռեժիմի և արտոնություններից հրաժարվելու վրա։

Ոչ մի մոդել ինքնին պահված գաղտնաբառը անվտանգ չի դարձնում, և ոչ մեկը գործարկման նախազգուշացումը իմաստալից չի դարձնում։

Եթե նախազգուշացումը միակ պատճառն էր, որ բացեցիք պրոֆիլը, գրանցեք որոշումը՝ անբացատրելի տարբերակի փոխարեն. հավատարմագրերը գալիս են ֆայլից, որը դեմոնի հաշիվը կարող է կարդալ, վերաբանակցումը տեսնվել է հաջող, և OpenVPN 2.6 ձեռնարկի վերաբանակցման բաժինը կարդացվել է մինչև դրա միջակայքը փոխելը։ Այդ գրառումը ապրում է ավելի երկար, քան ցանկացած առանձին դրոշ։