OpenVPN auth-nocache: wat beim nächste Login geschitt

Aktivéiert auth-nocache an d’Warnung iwwer d’Passwuert-Caché verschwënnt, zesumme mat der Kopie vun den Zougangsdaten, déi OpenVPN fir déi nächst Renegociatioun gehal huet. Ob dat eng Ufro, eng roueg Widderholung oder en ofgebrach Tunnel gëtt, hänkt dovun of, wou d’Zougangsdaten dat zweete Kéier hierkommen. Dofir ass dat e Verglach tëscht Deployementsformen an net en Urteel iwwer d’Optioun. Liest d’Form, déi Dir tatsächlech bedreift, ier Dir eng Profil ännert.

Wouhier deen zweeten Set Zougangsdaten komme muss

OpenVPN applizéiert auth-nocache op d’Geheimnisser, déi auth-user-pass an askpass sammelen: nodeems se benotzt goufen, verwërft de Prozess se, amplaz se fir de nächsten Handshake ze halen. Eng Renegociatioun kënnt op engem Timer, standardméisseg eemol an der Stonn, also kënnt déi zweet Ufro laang nodeems d’Persoun, déi d’Passwuert getippt huet, weidergezunn ass. Dee Lach ass déi ganz Geschicht. Mat ageschaltem Caché spillt de Client d’gespäichert Kopie of, ouni een ze froen; mat ausgeschaltem Caché muss en d’Geheimnis soss anzwousch fannen oder versoen.

Also lëscht all Plaz op, wouhier d’Geheimnis zu deem Ament komme kéint, a sidd éierlech, wéi eng dovun um Host existéieren. Eng Persoun um Terminal, eng Datei, déi auth-user-pass oder askpass liese kënnen, oder en Session-Token, dee vum Server ausgestallt gëtt, sinn déi dräi, déi hei zielen. Wann keen dovun disponibel ass, versoe d’Renegociatioun eng Stonn no der Ännerung an net an dem Ament, wou Dir se gemaach hutt.

Dräi Formen, dräi Feelerpunkten

En Desktop-Client mat enger Persoun virun ass de milde Fall: d’Ufro kënnt zréck, een tippt d’Passwuert nach eng Kéier, an de Präis ass Opmierksamkeet. En Service, Container oder Router, deen OpenVPN ouni Terminal bedreift, ass de schwéiere Fall, well keen do ass fir ze äntweren an d’Widderverbindung, déi fréier roueg war, elo den Tunnel beendet. En Hybrid sëtzt tëscht deenen zwee a behält sech wéi den Desktop-Fall, bis d’Sessioun, déi d’Ufro konnt beäntweren, verschwënnt. Wat se trennt, ass net ob eng GUI installéiert ass, mä ob et zu der Zäit vun der Renegociatioun eng Quell fir Zougangsdaten gëtt.

Maapt Ären Deployement op eng vun deenen dräi, ier Dir eppes ännert, well de Rot, deen Dir online fannt, bal ëmmer fir déi éischt geschriwwe gëtt. D’Desktop-Antwert op e Service ouni Terminal unzewennen, ass de Wee, wéi en Tunnel, dee Méint laang funktionéiert huet, all Stonn ufänkt ze falen.

Direktiv oder Fändel: wielt eng an wësst wéi eng Dir benotzt hutt

Bannen an enger Profil ass auth-nocache eng eege Linn; bei engem Opruff, deen eng Profil ausdrécklech nennt, ass et en Fändel op där Kommandozeil, an d’OpenVPN-Handbuch lëscht béid Formen op. Béid maachen datselwecht fir d’Zeréckhalen vun Zougangsdaten, a keng vun hinnen tippt den Interface-Typ un oder reparéiert eng onverbonnen Warnung am selwechte Log. Den Ënnerscheed ass Dauerhaftigkeit: de Fändel deckt just dee Laf, also en Service, deen aus enger Unit-Datei oder engem Wrapper-Skript nei gestart gëtt, huet en net, ausser de Wrapper gëtt en och weider.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Entscheet, wéi en Artefakt d’Astellung besëtzt, ännert se do an nirgendswou anescht. Eng Profil, déi op engem Laptop geännert gouf, plus eng systemd-Unit, déi se mat engem Fändel iwwerschreift, ass d’Paar, dat no engem Neistart widderspréchlech Verhalen erzeugt.

Eng Zougangsdaten-Datei verréckelt d’Geheimnis, amplaz se ze läschen

auth-user-pass op eng Datei weisen gëtt all spéiderer Renegociatioun eng Quell, an et setzt d’Passwuert och eppes wou et Neistarts iwwerlieft. Frot, wien déi Datei liese kann, ob den Daemon se nach liese kann, nodeems en Privilegien opginn huet, a wat geschitt, wann d’Dateisystem nëmme liesend montéiert ass oder eng Container-Ansicht de Pad verstoppt. E Geheimnis um Disk an e Geheimnis am Späicher si verschidde Problemer, an ee léisen léisst deen aneren op der Plaz. D’Rotatioun ass de Schrëtt, dee vergiess gëtt: e Passwuert, dat um Server geännert gouf, awer net an der Datei, erzeugt en Ausfall, deen als Netzwierkfeeler gelies gëtt.

Halt d’Datei am Besëtz vum Kont, deen den Daemon bedreift, fir keen aneren liesbar, an ausserhalb vu Backups, déi den Host verloossen. D’Serversäit-Optioun auth-gen-token vun OpenVPN gëtt dem Client no enger erfollegräicher Umeldung en Session-Token, wat eng méi kleng Saach ass, déi een autour léisst, wéi d’Kontpasswuert. Schreift de Rotatiounsschrëtt op alle Fall nieft d’Datei, well d’Datei meeschtens déi Persoun iwwerlieft, déi se erstallt huet.

D’Renegociatioun strecken verréckelt de Präis, et hëlt en net ewech

Déi aner Suggestioun ass, reneg-sec ze erhéijen, bis d’Ufro seelen genuch ass fir se z’ignoréieren. Dat schreift de Key-Rotatiounsplang vun der Sessioun ëm an dréckt deeselwechte Zougangsdatenproblem op e méi spéiden, manner viraussoen Ament; et schaaft keng Quell fir Zougangsdaten. Eng Politik, déi Schlësselen aus engem Grond no Plang erneiert, soll net nëmme geluecht ginn, fir d’Tippen vun engem Passwuert ze vermeiden.

Test d’Widderverbindung an net d’Sessioun, an där Dir sëtzt, well déi lieweg Sessioun näischt beweist. Loosst den Tunnel vun der Serversäit falen, oder start de Client-Service nei, a kuckt, wat déi nächst Renegociatioun mécht, wann keen op der Tastatur ass. Wann en sech erëm verbënnt, nennt de Mechanismus, deen d’Geheimnis geliwwert huet; wann net, hutt Dir de richtege Präis vun der Optioun op dësem Host fonnt. Wat och ëmmer erauskënnt, et gëtt Iech eng Äntwert, déi während enger Stéierung hält, amplaz enger, déi während dem Test gehal huet.

An enger verwalteter Flott soll deen, deen den Deployement besëtzt, dräi Saachen nenne kënnen: wouhier d’Zougangsdaten kommen, wou se gespäichert sinn a wien se rotéiert. Wann eng vun dësen Äntwerten déi Persoun ass, déi den Host opgesat huet, ass d’Optioun do nach net sécher.