Firwat e VPN-Dienst, dee beim Start ufänkt, däi Schlësselrank net liese kann
En VPN beim Start huet keen entspaarten Geheimnisagent, vun deem en léine kéint. Liest d'Geheimnisflage vun der Verbindung, ier s du en Passwuert zrécksetz, dat de Server ni ofgelehnt huet.
Eng Verbindung, déi no der Umeldung funktionéiert an virdrun feelt, bedeit meeschtens, datt den Ufanksversuch kee Geheimnis konnt kréien, net datt de Server een ofgelehnt huet. D'Berechtegung existéiert; de Kontext, deen se freet, net. Dësen eenzegen Ënnerscheed spuert en onnéidege Passwuert-Zrécksetze.
Folleg der Ufro: eppes start d'Verbindung, ier et eng Desktop-Sessioun gëtt, an de Geheimnisspäicher, deen normalerweis äntwert, ass nach net entspaart. Déi zwee Kontexter sinn net eens, wiem d'Geheimnis gehéiert, an de Profil registréiert, vun wiem et erwaart gëtt et ze liwweren.
Wat de Startwee tatsächlech freet
Beim Start fänkt den NetworkManager als Systemdienst un, ouni Benotzersessioun, ouni Sessiouns-D-Bus an ouni entspaarte Schlësselrank. E Verbindungsprofil kann nach ëmmer opgehuewe ginn, awer nëmme mat Geheimnisser, déi den Dienst selwer erreeche kann. Alles, wat engem Geheimnisagent gehéiert, waart, bis en Mënsch sech umellt an den Agent erschéngt. Den Dienst mécht genee dat, wat seng Konfiguratioun seet; de Profil ass dat, wat sech muss änneren.
De Feeler ass an d'Verbindung geschriwwen, amplaz an engem Schlësselrank verstoppt.
D'Geheimnisflage vun enger Verbindung liesen
Fro d'Verbindung, wat se erwaart, net wat den Desktop sech erënnert. D'Flagekolonn äntwert d'Fro direkt, an se iwwerlieft Neistarts an der Profildatei op der Plack.
Fänk mat der Profillëscht un, a bestäteg dann, wéi eng Verbindung agestallt ass, sech selwer opzehiewen. Dunn exportéier eng Verbindung a lies d'Passwuertflage:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Den éischte Befehl bestätegt, wéi eng Profiler existéieren an ob een op automatesch Verbindung agestallt ass, wat de Wee ass, wéi en oniwwerwaachte Versuch iwwerhaapt ufänkt. Den zweeten deckt d'Flagwäerter op, an den drëtten weist den Dienst, dee sech beschwéiert, datt keen Agent fir e bestëmmt Geheimnis geäntwert huet. Eng Logzeil, déi en Geheimnis als agenteege bezeechent, ass déi ganz Diagnos an engem Saz.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Firwat d'Verbindung an de Systemberäich ze réckelen d'Äntwert ännert
Eng Verbindung, déi engem Benotzer gehéiert, gëtt ënner dem Agent vun deem Benotzer aktivéiert, dofir funktionéiert se perfekt, soubal den Desktop uewen ass. Se an de Systemberäich ze réckelen hëlt den Agent aus dem Wee, sou datt dee selwechte Profil sech anescht behëlt, ouni datt eng eenzeg Zeil VPN-Konfiguratioun sech ännert.
Dee Réckelen ass en legitimen Design, an et bréngt eng Fuerderung mat: d'Geheimnis muss fir den Systemdienst erreechbar sinn. Et am Profil späicheren, et iwwer eng Berechtegung am Systemberäich ubidden oder eng interaktiv Ufro am richtege Moment akzeptéieren sinn all gülteg Äntwerten. D'Flagg 1 stoen ze loossen an ze hoffen ass et net.
En private Schlëssel mat senger eegener Passphrase setzt eng zweet Schicht derbäi. Och e gespäichert Kontpasswuert entspaart kee Schlëssel, deen eng Passphrase wëll, also iwwerpréif, wéi ee Geheimnis déi feelend Etapp tatsächlech freet, ier s du eppes änners.
Wat s du net solls maachen, a wat amplaz
All Berechtegungsdatei fir jiddereen liesbar ze maachen, oder d'Authentifizéierung auszeschalten, sou datt keng Ufro néideg ass, tauscht eng Onbequemlechkeet beim Start géint eng permanent Blosstellung. Béides verstoppt och d'Ofhängegkeet amplaz se ze léisen, an de nächsten Image-Update bréngt dee selwechte Feeler zréck.
Benotz an där Etapp de Mechanismus, deen deng Verdeelung fir oniwwerwaacht Aktivéierung dokumentéiert, a bestäteg dann, datt d'Flage vum Profil dozou passen. Kontrolléier d'Resultat vun engem proppere Start, net vun enger Shell, déi schonn en Agent huet. Schréif de Verbindungseigner, d'Quell vum Geheimnis an d'Etapp op, déi muss funktionéieren, sou datt eng spéider Ännerung vum Autostart net ka roueg eng Ofhängegkeet vun engem erabréngen, deen d'éischt en Desktop entspaart. Dokumentatioun ass den Ënnerscheed tëscht engem gefléckten Dienst an engem, deen de nächsten Trimester erëm brécht.
Test vun engem kontrolléierte proppere Start amplaz vun engem manuellen Neiversuch no der Umeldung. Den Neiversuch geléngt aus dem Grond, aus deem den Ufanksversuch gefeelt huet, an dat ass genee de Beweis, deen en séieren Test zerstéiert.