Sustabdykite NetworkManager nuo išsaugoto VPN slaptažodžio rodymo

NetworkManager gali laikyti VPN slaptažodį, kad ryšys užsimegztų niekam jo neįvedus, ir gali tą reikšmę vėl parodyti per redaktorių arba per nmcli --show-secrets. Yra trys nuosavybės modeliai, o rodymo elgsena tėra požymis, kurį pasirinkote. Pirmiausia pasirinkite modelį, tada nustatykite jį atitinkančią vėliavėlę, o ne slėpkite lauką pakaitiniu tekstu, kuris supainios kitą žmogų.

Trys nuosavybės modeliai

Pirmasis modelis klausia kiekvieną kartą. Niekas nesaugoma, paslaptis egzistuoja tik aktyvavimo metu, o kiekvienas, kuris paleidžia ryšį, turi žinoti slaptažodį. Tai mažiausiai patogus variantas ir lengviausiai apginamas.

Antrasis perduoda paslaptį naudotojui priklausančiai raktų saugyklai. Agentas atsirakina prasidėjus sesijai ir pateikia reikšmę pagal poreikį, todėl ji lieka už ryšio failo ribų, bet ryšys susiejamas su to naudotojo sesija. Iš to kyla dvi sąlygos: agentas turi veikti ir turi būti atrakintas.

Trečiasis saugo apsaugotą prisijungimo duomenį sistemos ryšiui. Jis išlieka po perkrovimų ir veikia prieš kam nors prisijungiant, o mainais reikšmė guli diske, saugoma failo teisių, o ne šifravimo.

Kiekvienas modelis yra pagrįstas tinkamame kontekste. Klaida yra juos maišyti, ir taip nešiojamasis kompiuteris atsiduria su paslaptimi dviejose vietose ir be aiškaus atsakymo, kuri yra pagrindinė. Užrašykite, kurį modelį naudoja profilis. Viena eilutė komandos vadove sutaupo kitam žmogui išradinėjimą ketvirtos paieškos vietos.

Perskaitykite dabartinę būseną prieš ją keisdami

Pažiūrėkite į profilį ir paslapties būseną kaip naudotojas, kuris valdo ryšį. Antroji komanda yra ta, kuri pasako, ar reikšmė tikrai perskaitoma.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Rakto failas tame kataloge paprastai priklauso root ir turi 600 režimą. Tai neleidžia paprastiems naudotojams ir neleidžia root, o tai svarbu, kai ta pati mašina bendra arba kai atsarginė kopija vykdoma kaip root.

Failo teisės yra riba, o ne šifravimas. Kiekvienas, kuris gali perskaityti failą kaip root, turi slaptažodį atviru tekstu. Tai priimtinas mainas nepriežiūrimam serveriui ir blogas bendrai darbo vietai. Vieną kartą užrašius, išvengiama ilgo ginčo, ar reikšmė apsaugota.

Ką daro kiekviena vėliavėlės reikšmė

VPN paslaptis turi ypatybę flags, o reikšmės nėra intuityvios vien iš skaičių.

Faktinė elgsena taip pat priklauso nuo papildinio ir nuo to, ar veikia agentas, todėl lentelę laikykite sutartimi, o stebimą elgseną tuo, ką tikrinate. Reikšmė, kuri veikia viename darbalaukyje, gali elgtis kitaip serveryje be sesijos. Būtent šiame tarpelyje gyvena dauguma klaidinančių užklausų.

Nustatykite ypatybę aiškiai, o ne trinkite eilutę ir tikėkitės. Nesančios vėliavėlės nėra politika, o kitas paketo atnaujinimas gali ją užpildyti tuo, ko neketinote.

Suderinkite modelį su tuo, kada ryšys prasideda

Jei ryšys prasideda tik tada, kai naudotojas prisijungęs, agento nuosavybė tinka ir laiko paslaptį už failo ribų. Jei jis prasideda įkrovimo metu, prieš atsirandant bet kokiai sesijai, agentas jums nepadės.

Tai yra visas sprendimas daugumai mašinų. Tai taip pat paaiškina klaidinančių ataskaitų klasę, kai ryšys veikia interaktyviai ir nepavyksta po perkrovimo. Vėliavėlė niekada nepasikeitė; pasikeitė kontekstas.

Nepriežiūrimu atveju praktiškas atsakymas yra apribotas root priklausantis failas arba patvirtintas prisijungimo duomenų šaltinis. Laikykite jį už ryšio profilio ribų, jei tas profilis kada nors eksportuojamas arba kopijuojamas į kitą mašiną.

Jei reikšmė jau buvo matoma, pakeiskite ją

Vėliavėlės pakeitimas nepaliečia paties slaptažodžio. Reikšmė, pasirodžiusi ekrano kopijoje, shell istorijoje, palaikymo tarnybai išsiųstame pakete arba faile, kurį galėjo atidaryti kiti naudotojai, turėtų būti laikoma atskleista.

Pakeiskite ją serveryje, tada pataisykite klientą ir nutraukite bet kurią sesiją, kuri autentifikavosi su senąja. Vietinio ryšio ištrynimas nieko neatšaukia kitoje pusėje, ir būtent šią dalį žmonės praleidžia.

Tada nustokite dėti slaptažodį į komandų eilutę. Jis patenka į shell istoriją ir gali pasirodyti procesų sąraše; naudokite interaktyvų raginimą arba agentą.

Patikrinkite prisijungdami iš naujo

Pakartokite komandą, kuri parodė paslaptį, ir patvirtinkite, kad laukas nebeprintuojamas. Tada atsijunkite ir vėl prisijunkite, o jei ryšys prasideda automatiškai, perkraukite, nes įdomus gedimas pasirodo tik pasikeitus sesijos kontekstui.

Jei paslaptis vis dar rodoma, ją pateikia kitas profilis arba kitas agentas. Patikrinkite aktyvų ryšį ir raktų saugyklą, o ne trinkite failus, kol simptomas nepasislinks.