Hvar ætti Linux að geyma VPN-lykilorðið þitt? Ekki í prófílnum

VPN-lykilorðið verður að búa einhvers staðar: í tengiprófílnum, í lyklakippu sem skjáborðið opnar, eða hvergi. NetworkManager kallar það val leyndarmerki, og að velja ranga er ástæðan fyrir því að tenging virkar eftir innskráningu og bregst sem þjónusta. Merkið er ein lína af stillingum, og það ræður því hverra þessara þriggja útkoma þú fær.

Þrjú merki ná yfir næstum öll tilvik, og ákvörðunin snýst um hvenær tengingin byrjar.

Þrjú leyndarmerki, þrjú hegðunarmynstur

Merki 0 þýðir að leyndin er geymd með tengingunni, í hvaða geymslu sem heldur prófílnum. Merki 1 gerir hana að eign þjóns: leyndin kemur frá leyndarþjóni eins og lyklakippu skjáborðsins, og NetworkManager biður um hana við virkjun. Merki 2 þýðir ógeymt, svo leyndin er aldrei skrifuð og verður að gefa hana í hvert sinn. Merki 4 merkir leynd sem óþarfa, fyrir tengingar sem þurfa sannarlega enga.

Stilltu merkin fyrir hverja leynd frekar en hverja tengingu. Ein tenging getur haft lykilorð í eigu þjóns og geymt lykilsetningu einkalykils.

Ákveddu eftir því hvenær tengingin byrjar

Ef innskráður notandi byrjar tenginguna er eign þjóns skynsamlegt sjálfgefið gildi: lyklakippan er opnuð við innskráningu og leyndin liggur aldrei í skrá. Ef tengingin verður að rísa áður en nokkur skráir sig inn er eign þjóns röng ákvörðun, því það er engin setulyklakippa til að opna.

Þetta er öll ákvörðunin. Allt annað er afbrigði af henni.

Fyrir þjónustu fyrir innskráningu er studda mynstrið geymsla á kerfisstigi eða varin lykilskrá, og skráarheimildir verða verndin. Leystu ekki vandamálið með því að líma lykilorðið í skeljarskript sem keyrir við ræsingu.

Hvað lyklakippan gefur og hvað ekki

Lyklakippa heldur leyndinni utan tengiprófílsins og bindur hana við notendasetu. Hún gerir leyndina ekki aðgengilega fyrir þjónustu án setu, og hún dulkóðar ekkert á línunni. Þetta eru aðskildir eiginleikar sem fólk sameinar oft. Það sem hún kaupir er minna skaðasvæði þegar prófíllskrá lekur.

Einkalykillinn sem prófíllinn vísar í þarf eigin heimildir, óháð því hvar lykilorðið býr.

Greining án þess að hellla leyndum

Tenginganöfn, UUID og merki duga venjulega til að útskýra bilun. nmcli connection show listar prófílinn, og leyndarmerkin segja þér hvaðan lykilorðið átti að koma.

Forðastu --show-secrets í málum og spjalli. Þegar það er límdist hefur er það auðkenni í uppskrift.

Geymsla er ekki afturköllun

Að fjarlægja leynd úr einni lyklakippu ógildir ekki auðkennið sem fjartengdur stjórnandi hefur þegar samþykkt. Afturköllun reiknings er aðgerð á þjónshlið, og staðbundin geymsla er sérstakt mál með sérstökum eiganda.

Ákveddu bæði fyrir atvikið, ekki á meðan. Gagnvirk notendatenging og þjónusta fyrir innskráningu þurfa mismunandi svör, og sameiginlegt skeljarskript er hvorugt. Skjöl NetworkManager um leyndarmerki lista gildin í heild.