Verhënnert, datt NetworkManager e gespäichert VPN-Passwuert weist
Frot all Kéier, gëff et un e Schlësselrank oder hal eng Datei déi nëmme root liese kann. All Wiel huet eng aner Expositioun, an de Passwuert-Flag soll dozou passen.
NetworkManager kann e VPN-Passwuert halen, sou datt d’Verbindung opgeet ouni datt een et tippt, an et kann dee Wäert iwwer den Editeur oder iwwer nmcli --show-secrets erëm weisen. Et ginn dräi Besëtzmodeller, an d’Uweise ass just en Symptom dovun, wéi en een Dir gewielt hutt. Wiel als éischt de Modell a setzt dann de Flag deen dozou passt, amplaz e Feld mat engem Platzhalter ze verstoppen deen déi nächst Persoun verwirrt.
Dräi Besëtzmodeller
Den éischte Modell freet all Kéier. Näischt gëtt gespäichert, de Geheimnis existéiert nëmmen während der Aktivéierung, an jiddereen deen d’Verbindung start muss d’Passwuert wëssen. Et ass déi mannst bequem Optioun an déi einfachst ze verdeedegen.
Den zweeten iwwergëtt de Geheimnis un e Schlësselrank dee vum Benotzer gehéiert. Den Agent entspärrt sech wann d’Sessioun ufänkt a liwwert de Wäert op Ufro, wat en aus der Verbindungsdatei eraushällt awer d’Verbindung un d’Sessioun vun deem Benotzer bënnt. Dovu kommen zwou Bedingunge: den Agent muss lafen, an en muss entspärrt sinn.
Den drëtten späichert e geschützte Berechtegung fir eng Systemverbindung. En iwwerliewt Neistarts a funktionéiert ier een sech umellt, an als Géigenleeschtung läit de Wäert op der Plack geschützt duerch Dateirechter an net duerch Verschlësselung.
All Modell ass am richtege Kontext raisonnabel. De Feeler ass se ze mëschen, an esou ennt e Laptop mat engem Geheimnis op zwou Plazen an ouni kloer Äntwert wéi en autoritativ ass. Schreift op wéi en Modell e Profil benotzt. Eng Linn am Teamhandbuch spuert der nächster Persoun, eng véiert Plaz zum Nokucken ze erfannen.
Liest den aktuellen Zoustand ier dir en ännert
Kuckt de Profil an den Zoustand vum Geheimnis als de Benotzer deen d’Verbindung geréiert. Den zweete Befehl ass deen deen dir seet ob de Wäert wierklech liesbar ass.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionEng Schlësseldatei an deem Verzeechnes gehéiert normalerweis root mat Modus 600. Dat hält gewéinlech Benotzer dobaussen an hält root net dobaussen, wat zielt wann déi selwecht Maschinn gedeelt gëtt oder wann eng Sécherung als root leeft.
Dateirechter sinn eng Grenz, net Verschlësselung. Wien d’Datei als root liese kann, huet d’Passwuert a kloerem Text. Dat ass en akzeptabelen Tausch fir en onbewaachten Server a en schlechten fir eng gedeelten Aarbechtsplaz. Eemol opgeschriwwen verhënnert et eng laang Diskussioun doriwwer ob de Wäert geschützt ass.
Wat all Flag-Wäert mécht
De VPN-Geheimnis dréit eng Eegenschaft flags, an d’Wäerter sinn net nëmmen aus den Zuelen ersichtlech.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Dat tatsächlech Verhalen hänkt och vum Plugin an dovun of ob en Agent leeft, also betruecht den Table als de Kontrakt an dat observéiert Verhalen als dat wat dir verifizéiert. E Wäert deen op engem Desktop funktionéiert ka sech op engem Server ouni Sessioun anescht verhalen. An dëser Lück liewen déi meescht verwirrend Ticketen.
Setzt d’Eegenschaft explizit amplaz eng Linn ze läschen an ze hoffen. En fehlende Flag ass keng Politik, an den nächste Pakupdate ka en mat eppes fëllen wat dir net virgesinn hat.
Passt de Modell un wéini d’Verbindung start
Wann d’Verbindung nëmmen start wärend e Benotzer ageloggt ass, passt de Besëtz vum Agent gutt an hält de Geheimnis aus der Datei. Wann se beim Start ufänkt, ier eng Sessioun existéiert, kann en Agent dir net hëllefen.
Dat ass déi ganz Entscheedung fir déi meescht Maschinnen. Et erkläert och eng Klass vu verwirrend Rapporten wou d’Verbindung interaktiv funktionéiert an no engem Neistart feelt. De Flag huet sech ni geännert; de Kontext huet.
Fir den onbewaachte Fall ass eng limitéiert root-eegen Datei oder eng ugeholl Berechtegungsquell déi praktesch Äntwert. Halt se aus dem Verbindungsprofil eraus wann dee Profil iergendwann exportéiert oder op eng aner Maschinn kopéiert gëtt.
Wann de Wäert scho sichtbar war, wiesselt en
E Flag z’änneren léisst d’Passwuert selwer onberéiert. E Wäert deen an engem Screenshot, an der Shell-Historique, an engem Bündel deen un den Support geschéckt gouf oder an enger Datei déi aner Benotzer konnten opmaache opgedaucht ass, soll als verroden ugesi ginn.
Ännert en um Server, da fléckt de Client a beend déi Sessioun déi sech mam ale authentifizéiert huet. D’lokalt Verbindung läschen hëlt op der anerer Säit näischt zréck, an dat ass den Deel deen d’Leit iwwersinn.
Dann hält op d’Passwuert op d’Kommandozeil ze setzen. Et landt an der Shell-Historique a kann an enger Prozesslëscht optrieden; benotzt amplaz de interaktive Prompt oder den Agent.
Verifizéiert duerch nei verbannen
Widderhëlt de Befehl deen de Geheimnis gewisen huet a bestätegt datt d’Feld net méi gedréckt gëtt. Da trennt a verbënnt erëm, a start nei wann d’Verbindung automatesch ufänkt, well dee interessante Feeler erschéngt nëmmen wann de Sessiounskontext sech ännert.
Wann de Geheimnis nach ëmmer erschéngt, liwwert en en anere Profil oder en aneren Agent. Iwwerpréift d’aktiv Verbindung an de Schlësselrank amplaz Dateien ze läschen bis de Symptom sech verréckelt.