auth-nocache mat enger Umeldungsdatei: hëlleft et oder schuet et?

OpenVPN dréckt beim Start eng Warnung, déi auth-nocache virschléit, an déi verlockend Äntwert ass, d’Optioun derbäizesetzen an ze kucken, wéi d’Linn verschwënnt. Dëse Rot setzt eng interaktiv Umeldung viraus. Soubal de Benotzernumm an d’Passwuert an enger Datei liewen, ännert sech de Verglach: d’Optioun schützt d’dauerhaft Kopie net méi, an op engem Client, dee Privilegien opgëtt, kann se spéider d’Renegociatioun briechen. Zwee Späichermodeller sollten eenzel gehal ginn, ier Dir e Profil ännert.

Zwee Weeër, d’Ufro no Umeldungsdaten ze beäntwerten

Dat éischt Modell ass e Mënsch, deen Umeldungsdaten an en Terminal tippt, oder eng Verwaltungsinterface, déi se fir d’Sëtzung hält. OpenVPN hält déi Kopie, fir déi nächst Renegociatioun ze beäntwerten, ouni nach eng Kéier ze froen, an d’Warnung geet genee dorëm. Op der Plack ass näischt bedeelegt, also ass dat eenzegt ze schützen de Prozess, deen de Wäert hält. Maach de Client zou, an d’Kopie ass mat him fort.

Dat zweet Modell ass auth-user-pass , dat op eng Datei weist, wou d’Datei de Späicher ass an de Client se liest, wann e Wäert gebraucht gëtt. D’Expositioun, déi hei zielt, ass net de Prozessspäicher, mä d’Rechter an den Eegentum vun där Datei. D’Startwarnung kënnt vun den Direktiven an der Konfiguratioun, net vun enger Prüfung, wéi Dir d’Passwuert gitt, also erschéngt se a béide Modeller an dréit op keen.

De Rescht vun dësem Verglach kënnt aus där Trennung: Späicherbehandlung fir dat engt Modell, Dateibehandlung a Prozessidentitéit fir dat anert.

Wat auth-nocache tatsächlech verwërft

Bei enger interaktiver Umeldung --auth-nocache hëlt d’gespäicherte Kopie aus dem Späicher, nodeem se benotzt gouf. De Präis ass eng nei Ufro bei all Renegociatiounsintervall, well déi nächst Ronn net ka notzen, wat verworf gouf.

Bei enger dateibaséierter Umeldung kann de Client d’Datei nach eng Kéier liesen, also ass d’Verwerfen meeschtens onsichtbar. Et gëtt sichtbar op deen eenzeger Plaz, wou d’Leit et net erwaarden: nodeem den Daemon Privilegien opginn huet, wann d’Umeldungsdatei net liesbar ass fir de Kont, ënner deem en elo leeft.

Setz d’Optioun derbäi, well Dir dësen Tausch verstitt, net well eng Warnung opgetrueden ass. Eng Optioun, déi derbäigesat gëtt, fir e Log méi roueg ze maachen, ass eng Optioun, deen hire Wierkung keen gemooss huet.

Wou de dateibaséierte Wee brécht

E Client, deen als root start, fir den Tunnelapparat opzemaachen, an duerno op user an group wiesselt, liest d’Umeldungsdatei zweemol: eng Kéier virum Wiessel, eng Kéier bei der Renegociatioun, déi duerno kënnt. Wann d’Datei am Modus 600 ass an root gehéiert, schléit déi zweet Liesung fehl, an de Feeler erschéngt eng Stonn méi spéit als Authentifikatiounsfeeler, deen wéi e Serverproblem ausgesäit. Kuckt de Clientlog ronderëm de Renegociatiounsintervall an da kuckt de Kont an d’Datei zesummen.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Béid Linnen zielen. Déi éischt seet Iech, wien d’Datei liese kann, déi zweet seet Iech, wien den lafenden Daemon tatsächlech ass, an eng Differenz tëscht hinne erkläert e Feeler, deen nach eng Kéier d’Passwuert ze tippen net reparéiere wäert.

Déi praktesch Korrekture sinn net glamouréis: réckelt d’Datei an en Dossier an zu engem Eegentemer, deen de Kont vum Daemon liese kann, oder behält déi privilegiéiert Liesung a bestätegt, datt äre Client nëmmen eng Kéier liest. Léist et net, andeems Dir d’Datei fir jiddereen liesbar maacht.

De Fall, deen d’Optioun wierklech wëll

Eng Umeldung mat engem Eenmolcode wëll auth-nocache aus engem anere Grond. En Eenmolcode gëtt vun der éischter Authentifikatioun verbraucht, also ass eng gecachte Kopie bei der nächster Renegociatioun nëtzlos, an e veralte Wäert konnt souguer nach eng Kéier ofgespillt ginn.

Dat ass eng Fro iwwer den Typ vun Umeldungsdaten, net iwwer wou se gespäichert sinn. E statescht Passwuert an enger geschützter Datei huet de géigendeel Profil: et muss bei all Renegociatioun liesbar sinn, an de Schutz, deen Dir braucht, ass op der Datei.

Halt déi zwee Grënn eenzel an de Profilkommentaren, soss wäert den nächsten Administrateur unhuelen, d’Optioun sief do aus dem Grond, deen hie gewielt hätt.

De Verglach an enger Entscheedung

Wielt dat interaktivt Modell, wann e Mënsch do ass a Fräschheet zielt, an akzeptéiert déi widderholl Ufro als säi Präis. Wielt de Dateimodell, wann de Client ouni Iwwerwaachung leeft, a gitt d’Mühe fir Eegentum, Modus an d’Ofgabe vu Privilegien aus.

Keen vun de Modeller mécht e gespäichert Passwuert fir sech sécher, a keent mécht d’Startwarnung bedeitungsvoll.

Wann d’Warnung deen eenzegen Grond ass, firwat Dir de Profil opgemaach hutt, schreift d’Entscheedung op amplaz vun enger onerklärter Optioun: d’Umeldungsdaten komme aus enger Datei, déi de Kont vum Daemon liese kann, eng Renegociatioun gouf gesinn ze geléngen, an d’Sektioun iwwer Renegociatioun am OpenVPN 2.6-Handbuch gouf gelies, ier hiren Intervall geännert gouf. Dee Nott hält méi laang wéi all eenzel Fändel.