OpenVPN GUI menyimpan kata sandi Windows saya: di mana letaknya

Dialog koneksi menawarkan kotak centang untuk mengingat login, dan mencentangnya memindahkan detail akun dari kepala pengguna ke mesin. Antarmuka tidak pernah menyebutkan di mana. Di Windows, kandidatnya adalah area registri pengguna saat ini, berkas profil yang sudah membawa login, dan apa pun yang dilakukan skrip otomasi. Setiap lokasi punya pembaca berbeda, mode kegagalan berbeda, dan pembersihan berbeda, jadi pertanyaan yang berguna adalah proses mana yang bisa memulihkan rahasia itu dan untuk berapa lama. Ikuti kotak centang keluar dari dialog, lalu putuskan apa yang sebenarnya diekspos laptop yang hilang.

Mulai dari kotak centang di dialog koneksi

Nilai yang diingat disimpan per profil dan per akun Windows, di hive pengguna, bukan di penyimpanan mesin bersama. Karena itu pengguna kedua di komputer yang sama tidak melihat login tersimpan, dan karena itu memasang ulang klien tidak selalu menghapus entri tersimpan.

Berkas profil itu sendiri menyimpan server, port, dan pengaturan tetapi bukan rahasia, sehingga orang memeriksa artefak yang salah lebih dulu. Menghapus profil karena itu menghilangkan koneksi dan meninggalkan kredensial. Itulah kejutan yang paling umum saat pembersihan. Hapus kedua artefak, bukan satu.

Apa yang diungkapkan nilai registri

Nama akun ada dalam teks yang bisa dibaca, jadi apa pun yang berjalan sebagai pengguna itu dapat mendekodenya tanpa panggilan khusus. Kata sandinya berbeda: disegel dengan Windows DPAPI, terikat pada akun dan, tergantung flag, pada mesin tertentu. Membawa blob tersegel ke komputer lain dan memutarnya ulang karena itu tidak menghasilkan rahasia yang bisa dipakai.

Mendaftar nilai menjawab pertanyaan operasional tanpa menyentuh rahasianya. Tidak ada yang perlu didekripsi untuk memastikan entri itu ada. Daftar itu juga berfungsi sebagai catatan sebelum dan sesudah untuk pembersihan.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dua batas layak dinyatakan terus terang. Proses di dalam sesi login yang sama dapat memanggil rutin pembukaan proteksi yang sama seperti klien, jadi penyegelan adalah perlindungan saat diam, bukan terhadap desktop yang sudah ditembus. Dan tanpa enkripsi disk penuh, nilai tersegel hanya seprivat disknya.

Ketika berkas profil sudah berisi login

Beberapa portal memberikan konfigurasi dengan nama akun dan kata sandi tertulis di dalamnya, sehingga klien terhubung diam-diam. Pada titik itu berkas adalah kredensial yang berfungsi, dan setiap salinannya adalah kunci lain untuk pintu yang sama.

Berkas seperti itu berakhir di cadangan, utas obrolan, dan folder tersinkron, dan tidak ada salinan yang berhenti berfungsi saat aslinya dihapus. Mengedit berkas lokal tidak mengubah apa pun pada yang lain. Mencabut akses berarti mengganti kata sandi di server, dan melakukannya secepatnya. Pembersihan di satu laptop adalah tugas terpisah yang lebih kecil.

Di mana prompt dapat diterima, utamakan itu dan gunakan kontrol cache klien. Jika profil yang sudah terisi benar-benar diperlukan, jauhkan dari folder tersinkron dan hapus saat pekerjaan selesai.

Otomasi memindahkan rahasia ke tempat lain

Skrip menghadirkan dua saluran lagi: argumen proses dan ketukan tombol sintetis. Berkas yang disebut di baris perintah terlihat oleh apa pun yang bisa membaca argumen proses atau izin berkas, dan kata sandi yang diketik alat pergi ke jendela yang sedang fokus. Satu contoh yang dipublikasikan mengetik kata sandi desktop dengan cara itu sebelum menjalankan klien. Bibit kata sandi sekali pakai yang tersimpan layak mendapat perhatian yang sama, karena bisa menghasilkan setiap kode mendatang dan bertahan lebih lama dari satu login.

Pola yang lebih baik menyimpan rahasia di tempat yang hanya bisa dibaca akun layanan, mengandalkan opsi coba ulang dan sumber kredensial klien yang terdokumentasi, dan menghindari pengetikan yang disuntikkan pada prompt hak istimewa. Jika skrip membutuhkan kata sandi desktop untuk elevasi, itu pertanyaan desain hak istimewa, bukan VPN.

Pembersihan setelah perangkat hilang

Cabut atau nonaktifkan akun di server sebelum hal lain, karena penghapusan lokal tidak bisa membatalkan salinan yang sudah dipegang seseorang. Lalu bersihkan nilai registri yang diingat, hapus profil dan semua berkas kredensial, dan telusuri riwayat shell serta direktori skrip untuk kata sandi yang ditempel.

Catat apa yang dihapus dan kapan akses berakhir. Pasangan itu menjawab satu-satunya pertanyaan yang diajukan tinjauan insiden: apakah ada salinan kredensial yang masih berfungsi setelah perangkat pergi.