შეაჩერეთ NetworkManager შენახული VPN პაროლის ჩვენება
იკითხეთ ყოველ ჯერზე, გადასცეთ გასაღებების ბმულს ან შეინახეთ ფაილი მხოლოდ root-ისთვის. თითოეულ არჩევანს განსხვავებული რისკი აქვს და პაროლის დროშა მას უნდა შეესაბამებოდეს.
NetworkManager-ს შეუძლია VPN პაროლის შენახვა, რათა კავშირი ამოქმედდეს ვინმეს აკრეფის გარეშე, და შეუძლია ამ მნიშვნელობის ხელახლა ჩვენება რედაქტორის ან nmcli --show-secrets-ის მეშვეობით. ხელმისაწვდომია საკუთრების სამი მოდელი და ჩვენების ქცევა მხოლოდ იმის სიმპტომია, რომელი აირჩიეთ. ჯერ აირჩიეთ მოდელი, შემდეგ დააყენეთ მისი შესაბამისი დროშა, ნაცვლად იმისა, რომ ველი დამალოთ ჩამნაცვლებელი ტექსტით, რომელიც შემდეგ ადამიანს დააბნევს.
საკუთრების სამი მოდელი
პირველი მოდელი ყოველ ჯერზე იკითხავს. არაფერი ინახება, საიდუმლო მხოლოდ გააქტიურების ხანგრძლივობით არსებობს და ვინც კავშირს იწყებს, პაროლი უნდა იცოდეს. ეს ყველაზე არამოსახერხებელი ვარიანტია და დასაცავად ყველაზე მარტივი.
მეორე საიდუმლოს გადასცემს მომხმარებლის საკუთრებაში არსებულ გასაღებების ბმულს. აგენტი სესიის დაწყებისას იხსნება და მნიშვნელობას მოთხოვნისამებრ აწვდის, რაც მას კავშირის ფაილის გარეთ ინახავს, მაგრამ კავშირს ამ მომხმარებლის სესიას აბამს. აქედან ორი პირობა გამომდინარეობს: აგენტი უნდა მუშაობდეს და გახსნილი უნდა იყოს.
მესამე ინახავს დაცულ სერტიფიკატს სისტემური კავშირისთვის. ის გადაურჩება გადატვირთვებს და მუშაობს ვინმეს შესვლამდე, სანაცვლოდ კი მნიშვნელობა დისკზე ფაილის ნებართვებითაა დაცული და არა დაშიფვრით.
თითოეული მოდელი გონივრულია სწორ კონტექსტში. შეცდომა მათი შერევაა, და ასე ხდება, რომ ლეპტოპში საიდუმლო ორ ადგილას რჩება და გაუგებარია, რომელია მთავარი. ჩაწერეთ, რომელ მოდელს იყენებს პროფილი. გუნდის სახელმძღვანელოში ერთი სტრიქონი იხსნის შემდეგ ადამიანს მეოთხე საძიებო ადგილის გამოგონებისგან.
წაიკითხეთ მიმდინარე მდგომარეობა შეცვლამდე
შეხედეთ პროფილს და საიდუმლოს მდგომარეობას როგორც კავშირის მმართველი მომხმარებელი. მეორე ბრძანებაა ის, რომელიც გეუბნებათ, ნამდვილად წაკითხვადია თუ არა მნიშვნელობა.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionამ საქაღალდეში არსებული გასაღების ფაილი ჩვეულებრივ root-ს ეკუთვნის რეჟიმით 600. ეს რიგით მომხმარებლებს გარეთ ტოვებს და root-ს არ ტოვებს გარეთ, რაც მნიშვნელოვანია, როცა იგივე მანქანა საერთოა ან როცა სარეზერვო ასლი root-ით მუშაობს.
ფაილის ნებართვები საზღვარია და არა დაშიფვრა. ვინც ფაილს root-ით კითხულობს, პაროლი აქვს ღია ტექსტად. ეს მისაღები გაცვლაა ზედამხედველობის გარეშე სერვერისთვის და ცუდი საერთო სამუშაო სადგურისთვის. ერთხელ ჩაწერა ხელს უშლის ხანგრძლივ კამათს იმაზე, დაცულია თუ არა მნიშვნელობა.
რას აკეთებს დროშის თითოეული მნიშვნელობა
VPN-ის საიდუმლოს აქვს flags თვისება და მნიშვნელობები მხოლოდ რიცხვებიდან არ არის გასაგები.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
ფაქტიური ქცევა ასევე დამოკიდებულია დანამატზე და იმაზე, მუშაობს თუ არა აგენტი, ამიტომ ცხრილი მიიღეთ როგორც ხელშეკრულება, ხოლო დაკვირვებული ქცევა როგორც ის, რასაც ამოწმებთ. ერთ სამუშაო მაგიდაზე მომუშავე მნიშვნელობამ შეიძლება სხვაგვარად იმუშაოს სესიის გარეშე სერვერზე. სწორედ ამ უფსკრულში ცხოვრობს დამაბნეველი ბილეთების უმეტესობა.
დააყენეთ თვისება ცალსახად, ნაცვლად სტრიქონის წაშლისა და იმედის დაყრდნობისა. არარსებული დროშა პოლიტიკა არ არის და შემდეგმა პაკეტის განახლებამ შეიძლება ის შეავსოს იმით, რაც არ გინდოდათ.
შეუსაბამეთ მოდელი კავშირის დაწყების დროს
თუ კავშირი იწყება მხოლოდ მაშინ, როცა მომხმარებელი შესულია, აგენტის საკუთრება კარგად ჯდება და საიდუმლოს ფაილის გარეთ ინახავს. თუ ის იწყება ჩატვირთვისას, რომელიმე სესიის არსებობამდე, აგენტი ვერ დაგეხმარებათ.
ეს არის მთელი გადაწყვეტილება უმეტესი მანქანისთვის. ეს ასევე ხსნის დამაბნეველი მოხსენებების კლასს, სადაც კავშირი ინტერაქტიულად მუშაობს და გადატვირთვის შემდეგ ფუჭდება. დროშა არასდროს შეცვლილა, კონტექსტი შეიცვალა.
ზედამხედველობის გარეშე შემთხვევისთვის პრაქტიკული პასუხია root-ის საკუთრებაში არსებული შეზღუდული ფაილი ან დამტკიცებული სერტიფიკატის წყარო. შეინახეთ ის კავშირის პროფილის გარეთ, თუ ეს პროფილი ოდესმე ექსპორტირდება ან სხვა მანქანაზე გადაიტანება.
თუ მნიშვნელობა უკვე ხილული იყო, შეცვალეთ ის
დროშის შეცვლა პაროლს თავად არ ეხება. ეკრანის სურათში, shell-ის ისტორიაში, მხარდაჭერისთვის გაგზავნილ პაკეტში ან სხვა მომხმარებლებისთვის გასახსნელ ფაილში გამოჩენილი მნიშვნელობა გამჟღავნებულად უნდა ჩაითვალოს.
შეცვალეთ ის სერვერზე, შემდეგ გაასწორეთ კლიენტი და შეწყვიტეთ ნებისმიერი სესია, რომელიც ძველით ავთენტიფიცირდა. ლოკალური კავშირის წაშლა მეორე მხარეს არაფერს აუქმებს და სწორედ ამ ნაწილს უშვებენ ხალხი ხელიდან.
შემდეგ შეწყვიტეთ პაროლის ბრძანების სტრიქონში ჩადება. ის shell-ის ისტორიაში ხვდება და შეიძლება პროცესების სიაში გამოჩნდეს; გამოიყენეთ ინტერაქტიული მოთხოვნა ან აგენტი.
შეამოწმეთ ხელახალი დაკავშირებით
გაიმეორეთ ბრძანება, რომელმაც საიდუმლო აჩვენა, და დარწმუნდით, რომ ველი აღარ იბეჭდება. შემდეგ გათიშეთ და ხელახლა დაუკავშირდით, ხოლო თუ კავშირი ავტომატურად იწყება, გადატვირთეთ, რადგან საინტერესო ხარვეზი მხოლოდ სესიის კონტექსტის შეცვლისას ჩნდება.
თუ საიდუმლო მაინც ჩანს, მას სხვა პროფილი ან სხვა აგენტი აწვდის. შეამოწმეთ აქტიური კავშირი და გასაღებების ბმული ფაილების წაშლის ნაცვლად, სანამ სიმპტომი გადაინაცვლებს.