OpenVPN auth-nocache: kas nutinka per kitą prisijungimą

Įjunkite auth-nocache ir įspėjimas apie slaptažodžio talpyklą išnyksta, kartu su prisijungimo duomenų kopija, kurią OpenVPN laikė kitam pakartotiniam derėjimuisi. Ar tai taps raginimu, tylia pakartotine užklausa ar nutrūkusiu tuneliu, priklauso nuo to, iš kur antrą kartą ateina prisijungimo duomenys. Todėl tai diegimo formų palyginimas, o ne nuosprendis apie šią parinktį. Prieš redaguodami bet kurį profilį, perskaitykite formą, kurią iš tikrųjų naudojate.

Iš kur turi ateiti antrasis prisijungimo duomenų rinkinys

OpenVPN taiko auth-nocache paslaptims, kurias surenka auth-user-pass ir askpass: panaudojęs procesas jų atsisako, o ne laiko kitam rankos paspaudimui. Pakartotinis derėjimasis ateina pagal laikmatį, pagal nutylėjimą kartą per valandą, todėl antrasis prašymas ateina daug vėliau, kai slaptažodį įvedęs žmogus jau seniai pasitraukė. Ta spraga ir yra visa istorija. Kai talpykla palikta įjungta, klientas atkartoja išsaugotą kopiją nieko neprašydamas; kai ji išjungta, jis turi rasti paslaptį kitur arba nepavykti.

Taigi išvardykite visas vietas, iš kurių tuo metu galėtų ateiti paslaptis, ir būkite sąžiningi, kurios jų egzistuoja pagrindiniame kompiuteryje. Žmogus prie terminalo, failas, kurį gali perskaityti auth-user-pass arba askpass, arba serverio išduotas sesijos žetonas yra trys, kurie čia svarbūs. Jei nė vieno jų nėra, pakartotinis derėjimasis nepavyksta praėjus valandai po pakeitimo, o ne tą akimirką, kai jį atlikote.

Trys formos, trys gedimo taškai

Darbalaukio klientas su žmogumi priešais yra švelnus atvejis: raginimas grįžta, kažkas vėl įveda slaptažodį, o kaina yra dėmesys. Paslauga, konteineris ar maršrutizatorius, kuris vykdo OpenVPN be terminalo, yra griežtas atvejis, nes nėra kam atsakyti, o ryšys, kuris anksčiau buvo tylus, dabar užbaigia tunelį. Hibridas yra tarp jų ir elgiasi kaip darbalaukio atvejis, kol dingsta sesija, kuri galėjo atsakyti į raginimą. Juos skiria ne tai, ar įdiegta GUI, o tai, ar pakartotinio derėjimosi metu egzistuoja prisijungimo duomenų šaltinis.

Priskykite savo diegimą vienai iš tų trijų formų prieš ką nors keisdami, nes patarimas, kurį rasite internete, beveik visada parašytas pirmajai. Darbalaukio atsakymo taikymas paslaugai be terminalo yra būdas, kuriuo mėnesius veikęs tunelis pradeda kristi kas valandą.

Direktyva ar vėliavėlė: pasirinkite vieną ir žinokite, kurią naudojote

Profilio viduje auth-nocache yra atskira eilutė; iškvietime, kuris aiškiai įvardija profilį, tai yra tos komandų eilutės vėliavėlė, o OpenVPN vadove išvardytos abi formos. Abi daro tą patį prisijungimo duomenų išsaugojimui, ir nė viena neliečia sąsajos tipo ar netaiso nesusijusio įspėjimo tame pačiame žurnale. Skirtumas yra išliekamumas: vėliavėlė galioja tik tam paleidimui, todėl paslauga, paleista iš unit failo ar apvalkalo scenarijaus, jos neturės, nebent apvalkalas ją taip pat perduoda.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Nuspręskite, kuris artefaktas valdo nustatymą, pakeiskite jį ten ir niekur kitur. Profilyje, redaguotame nešiojamajame kompiuteryje, pridėjus systemd unit, kuris jį perrašo vėliavėle, yra pora, sukelianti prieštaringą elgesį po perkrovimo.

Prisijungimo duomenų failas perkelia paslaptį, o ne ją ištrina

Nukreipus auth-user-pass į failą, kiekvienas vėlesnis pakartotinis derėjimasis gauna šaltinį, o slaptažodis atsiduria vietoje, kuri išgyvena perkrovimus. Paklauskite, kas gali perskaityti tą failą, ar demonas dar gali jį perskaityti atsisakęs privilegijų, ir kas nutinka, kai failų sistema prijungta tik skaitymui arba konteinerio vaizdas paslepia kelią. Paslaptis diske ir paslaptis atmintyje yra skirtingos problemos, o vienos sprendimas palieka kitą vietoje. Rotacija yra žingsnis, kurio praleidžiama: serveryje pakeistas, bet faile nepakeistas slaptažodis sukelia gedimą, kuris skaitomas kaip tinklo sutrikimas.

Laikykite failą tos paskyros, kuri vykdo demoną, nuosavybėje, neperskaitomą niekam kitam, ir už atsarginių kopijų, kurios palieka pagrindinį kompiuterį, ribų. OpenVPN serverio pusės parinktis auth-gen-token po sėkmingo prisijungimo perduoda klientui sesijos žetoną, o tai yra mažesnis daiktas palikti mėtytis nei paskyros slaptažodis. Rotacijos žingsnį vis tiek užrašykite prie failo, nes failas paprastai gyvena ilgiau nei jį sukūręs žmogus.

Derėjimosi pratęsimas perkelia kainą, o ne ją pašalina

Kitas pasiūlymas yra padidinti reneg-sec tol, kol raginimas taps pakankamai retas, kad jį būtų galima ignoruoti. Tai perrašo sesijos raktų rotacijos grafiką ir stumia tą pačią prisijungimo duomenų problemą į vėlesnį, mažiau nuspėjamą momentą; tai nesukuria prisijungimo duomenų šaltinio. Politika, kuri dėl kokios nors priežasties atnaujina raktus pagal grafiką, neturėtų būti sušvelninta vien tam, kad nereikėtų įvesti slaptažodžio.

Tikrinkite pakartotinį prisijungimą, o ne sesiją, kurioje sėdite, nes gyva sesija nieko neįrodo. Nutraukite tunelį serverio pusėje arba paleiskite kliento paslaugą iš naujo ir stebėkite, ką daro kitas pakartotinis derėjimasis, kai prie klaviatūros nieko nėra. Jei jis vėl prisijungia, įvardykite mechanizmą, kuris tiekė paslaptį; jei ne, radote tikrąją šios parinkties kainą šiame pagrindiniame kompiuteryje. Bet kuris rezultatas duoda atsakymą, kuris galioja sutrikimo metu, o ne tą, kuris galiojo bandymų metu.

Valdomame parke tas, kuris valdo diegimą, turėtų mokėti įvardyti tris dalykus: iš kur ateina prisijungimo duomenys, kur jie saugomi ir kas juos rotuoja. Jei kuris nors iš tų atsakymų yra žmogus, kuris nustatė pagrindinį kompiuterį, parinktis ten dar nėra saugi.