ProtectHome gegn TOTP-fræi: hvers vegna VPN-innskráning mistekst

Auðkenningartólið sýnir nýjan sex stafa kóða, VPN hafnar honum, og sami kóði staðfestist vel þegar þú prófar hann úr þinni eigin skel. Það bil er öll sagan. PAM-eining sem getur ekki opnað skráningarsalátið skilar bilun sem lítur nákvæmlega út eins og rangur kóði, og þjónustuumhverfið sem felur heimilismöppur er algeng ástæða þess. Áður en þú slakar á nokkru leyfi skaltu ákveða í hvaða af þremur aðstæðum þú ert.

Hver af þremur bilunum er þetta?

Sú fyrsta er leyndarmál sem einingin getur alls ekki lesið. Önnur er leyndarmál sem hún getur lesið en ekki uppfært. Sú þriðja er kóði sem er í raun rangur, venjulega vegna klukkudrifs eða endurnýtts gildis.

Aðgreindu þau með því að lesa þjónustudagbók og auðkenningarskrá kerfisins fyrir eina misheppnaða tilraun, og staðfestu síðan hvaða PAM-þjónustu viðbótin hleður og hvaða einingarlínu sú þjónusta notar. Almenn auðkenningarbilunarskilaboð greina þau ekki, og vel heppnuð handvirk prófun ekki heldur, því skelin þín er ekki umhverfi þjónustunnar.

Skráarkerfissýn einingarinnar er venjulegi sökudólgurinn þegar aðeins þjónustan mistekst.

systemctl show -p ProtectHome -p ProtectSystem -p ReadWritePaths [email protected]
ls -l /var/lib/vpn-otp/*/.google_authenticator 2>/dev/null | head -n 20

Valkostur A: færa leyndarmálið út úr heimilinu

Þegar þjónustan felur /home og þú vilt frekar halda þeirri vernd skaltu geyma leyndarmálið þar sem hún getur séð það. Einingin tekur við slóð secret= og reikningi user= sem framkvæmir skráaraðgerðirnar, sem leyfir miðlægri geymslu að þjóna mörgum auðkennum.

Þetta er snyrtilegi valkosturinn, og það er sá sem þarf mestu varúðina, því sameiginleg geymsla gerir eina möppu að öryggismörkum hvers reiknings.

auth required pam_google_authenticator.so secret=/var/lib/vpn-otp/${USER}/.google_authenticator user=vpn-otp

Athugaðu þrennt áður en þú treystir því: reikningurinn er til, vinnuferli einingarinnar getur skipt yfir í hann, og skrárnar eru hans með þröngum stillingum. Ekki nota ~ eða slóð með heimilisbreytu ásamt user=, og ekki slökkva á eignarréttarathugunum einingarinnar til að láta slóð virka. Haltu lykilorðsþrepinu og restinni af staflanum óskertum.

Valkostur B: láta skrána vera og opna slóð

Ef leyndarmálið verður að vera í heimilisumhverfi notandans þarf einingin sýn sem inniheldur þá einu möppu án þess að afhjúpa hvert heimili á vélinni. Drop-in getur bætt við þröngri bind-mount undir sandboxuðu heimili.

Þetta heldur eignarhaldi á hvern notanda sem líkani, á kostnað einingarbreytingar sem þarf að yfirfara í hvert sinn sem sandboxið breytist.

Auðvelt er að missa af tveimur mörkum. Slóð sem er aðeins læsileg og bætt er við undir möppu sem sandboxið felur afhjúpar hana ekki, því foreldrið er einfaldlega ekki þar. Og mountið verður að vera skrifanlegt ef einingin þarf að uppfæra stöðu, sem kemur næsta valkosti í leik. Skrifaðu drop-in sem sérstaka skrá í stað þess að breyta pakkaðri einingunni undir /usr/lib, svo pakkauppfærsla afturkalli það ekki hljóðlega.

Valkostur C: halda sandboxinu og laga stöðuskrifanir

Að lesa leyndarmálið er aðeins helmingur auðkenningar. Einingin getur endurskrifað upplýsingar um tímaskekkju, endurspilunarvörn eða teljara, og skrá sem stenst lestrarathugun getur samt mistekist í skrifum.

Þessi bilun lítur út eins og slæmur kóði við næstu tilraun en ekki þessa, og þess vegna er hún rugluð saman við klukkudrif.

Gefðu henni eigin skrifanlega möppu og beindu slóð leyndarmálsins þangað, í stað þess að gera allt heimilið skrifanlegt. Staðfestu eiganda möppunnar, laust pláss skráarkerfisins og hvort einingin takmarki skrifanir annars staðar. Prófaðu síðan tvær innskráningar í röð, því sú seinni sannar skrifslóðina og sú fyrri aðeins lesturinn.

Staðfestu sem þjónustan, ekki sem þú sjálf

Sérhver athugun sem skiptir máli verður að keyra inni í sandboxi einingarinnar með auðkenni einingarinnar.

Skipun sem heppnast sem rót segir þér að skráin sé til og ekkert annað. Innskráning í gegnum raunverulegu þjónustuna segir þér hvort einingin geti lesið leyndarmálið, notað það og skrifað til baka það sem hún þarf.

Að lokum skaltu halda kröfunni óskertri. Að bæta við núlllykilorðsvalkosti, samþykkja lestrarbilun eða fjarlægja sandboxið myndu öll láta einkennin hverfa með því að breyta stefnunni. Notandi sem verður að sýna kóða á enn að vera hafnaður þegar leyndarmálið er óaðgengilegt.