auth-nocache með skilríkjaskrá: hjálpar það eða skaðar?

OpenVPN prentar við ræsingu viðvörun sem stingur upp á auth-nocache, og freistandi viðbragðið er að bæta valkostnum við og horfa á línuna hverfa. Þessi ráð gera ráð fyrir gagnvirkri innskráningu. Þegar notandanafnið og lykilorðið búa í skrá breytist samanburðurinn: valkosturinn hættir að vernda varanlega afritið, og á biðlara sem sleppir forréttindum getur hann síðar brotið endursamninguna. Tvö geymslulíkön er vert að halda aðskildum áður en þú breytir sniði.

Tvær leiðir til að svara skilríkjabeðninni

Fyrra líkanið er maður sem skrifar skilríki í skjáhermi, eða stjórnunarskilflötur sem heldur þeim fyrir lotuna. OpenVPN heldur því afriti svo það geti svarað næstu endursamningu án þess að spyrja aftur, og viðvörunin snýst einmitt um það. Ekkert á diski kemur við sögu, svo eina hluturinn sem á að vernda er ferlið sem heldur gildinu. Lokaðu biðlaranum og afritið hverfur með honum.

Seinna líkanið er auth-user-pass sem bendir á skrá, þar sem skráin er geymslan og biðlarinn les hana þegar gildi vantar. Útsetningin sem skiptir máli hér er ekki minni ferlisins heldur heimildir og eignarhald þeirrar skrár. Ræsingarviðvörunin kemur frá tilskipunum í stillingunni, ekki úr athugun á því hvernig þú veitir lykilorðið, svo hún birtist í báðum líkönum og bendir á hvort tveggja.

Afgangur þessa samanburðar fylgir þessari skiptingu: minnismeðferð fyrir annað líkanið, skráameðferð og ferilssjálfsmynd fyrir hitt.

Hverju auth-nocache hendir í raun

Með gagnvirkri innskráningu --auth-nocache fjarlægir geymda afritið úr minni eftir að það hefur verið notað. Kostnaðurinn er ný beiðni á hverju endursamningsbili, því næsta umferð getur ekki endurnýtt það sem var hent.

Með skrárbundinni innskráningu getur biðlarinn lesið skrána aftur, svo höfnunin er að mestu ósýnileg. Hún verður sýnileg á þeim eina stað sem fólk á ekki von á: eftir að dæmoninn sleppir forréttindum, ef skilríkjaskráin er ekki læsileg fyrir það reikning sem hann keyrir undir núna.

Bættu valkostnum við vegna þess að þú skilur þessi skipti, ekki vegna þess að viðvörun birtist. Valkostur sem er bætt við til að gera annál hljóðlátari er valkostur sem enginn hefur mælt áhrifin af.

Hvar skrárbundna leiðin brotnar

Biðlari sem byrjar sem root til að opna göngutækið og skiptir svo yfir í user og group les skilríkjaskrána tvisvar: einu sinni fyrir skiptin, einu sinni við endursamninguna sem fylgir. Ef skráin er í ham 600 og í eigu root mistekst seinni lesturinn, og bilunin kemur fram klukkustund síðar sem auðkenningarvilla sem lítur út eins og netþjónsvandamál. Athugaðu annál biðlarans í kringum endursamningsbilið og athugaðu svo reikninginn og skrána saman.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Báðar línurnar skipta máli. Fyrri segir þér hver getur lesið skrána, seinni segir þér hver hinn keyrandi dæmon er í raun, og misræmi þeirra á milli útskýrir bilun sem engin endurteikning lykilorðsins lagar.

Hagnýtu lagfæringarnar eru ekki veglegar: færðu skrána í möppu og til eiganda sem reikningur dæmonsins getur lesið, eða haltu forréttindalestrinum og staðfestu að biðlarinn þinn lesi aðeins einu sinni. Ekki leysa það með því að gera skrána læsilega fyrir alla.

Tilfellið sem vill valkostinn virkilega

Innskráning sem ber einnota kóða vill auth-nocache af annarri ástæðu. Einnota kóði er eytt með fyrstu auðkenningunni, svo afrit í skyndiminni er gagnslaust við næstu endursamningu og úrelt gildi gæti jafnvel verið spilað aftur.

Það er spurning um tegund skilríkja, ekki um hvar þau eru geymd. Kyrrstætt lykilorð í varðri skrá hefur gagnstæða prófíl: það verður að vera læsilegt við hverja endursamningu, og verndin sem þú þarft er á skránni.

Haltu þessum tveimur ástæðum aðskildum í athugasemdum sniðsins, annars mun næsti stjórnandi gera ráð fyrir að valkosturinn sé þar af þeirri ástæðu sem hann hefði valið.

Samanburðurinn í einni ákvörðun

Veldu gagnvirka líkanið þegar maður er viðstaddur og ferskleiki skiptir máli, og samþykktu endurtekna beiðni sem kostnaðinn. Veldu skrárlíkanið þegar biðlarinn keyrir án eftirlits, og eyddu átakinu í eignarhald, ham og sleppingu forréttinda.

Ekkert af líkunum gerir geymt lykilorð öruggt eitt sér, og ekkert þeirra gerir ræsingarviðvörunina merkingarbæra.

Ef viðvörunin er eina ástæðan fyrir því að þú opnaðir sniðið, skráðu ákvörðunina í stað óútskýrðs valkosts: skilríki koma úr skrá sem reikningur dæmonsins getur lesið, endursamningur hefur sést takast, og kaflinn um endursamningu í handbók OpenVPN 2.6 var lesinn áður en bilinu var breytt. Þessi athugasemd lifir hvert einasta flagg af.