OpenVPN GUI išsaugojo mano Windows slaptažodį: kur jis yra

Prisijungimo dialogas siūlo žymės langelį įsiminti prisijungimą, o jį pažymėjus paskyros duomenys iš naudotojo galvos persikelia į mašiną. Sąsaja niekada nepasako kur. Windows atveju kandidatai yra dabartinio naudotojo registro sritis, profilio failas, kuriame jau yra prisijungimas, ir tai, ką daro automatizavimo scenarijus. Kiekviena vieta turi kitą skaitytoją, kitą gedimo būdą ir kitą valymą, todėl naudingas klausimas yra kuris procesas gali atkurti paslaptį ir kiek laiko. Sekite žymės langelį iš dialogo į išorę, tada nuspręskite, ką iš tikrųjų atskleidžia pamestas nešiojamasis kompiuteris.

Pradėkite nuo prisijungimo dialogo žymės langelio

Įsiminti duomenys saugomi pagal profilį ir Windows paskyrą naudotojo avilyje, o ne bendroje mašinos saugykloje. Todėl antrasis naudotojas tame pačiame kompiuteryje nemato išsaugoto prisijungimo, ir todėl kliento perdiegimas nebūtinai ištrina išsaugotą įrašą.

Pats profilio failas saugo serverį, prievadą ir nustatymus, bet ne paslaptį, todėl žmonės pirmiausia tikrina ne tą objektą. Taigi profilio ištrynimas pašalina ryšį ir palieka prisijungimo duomenis. Tai dažniausia valymo staigmena. Pašalinkite abu objektus, o ne vieną.

Ką atskleidžia registro reikšmė

Paskyros vardas yra skaitomame tekste, todėl viskas, kas veikia kaip tas naudotojas, gali jį iššifruoti be jokio specialaus iškvietimo. Slaptažodis kitoks: jis užplombuotas Windows DPAPI, susietas su paskyra ir, priklausomai nuo vėliavėlių, su konkrečia mašina. Todėl užplombuoto bloko perkėlimas į kitą kompiuterį ir pakartotinis paleidimas neduoda naudingos paslapties.

Reikšmių sąrašas atsako į operacinį klausimą neliečiant pačios paslapties. Norint patvirtinti, kad įrašas yra, nieko iššifruoti nereikia. Sąrašas taip pat tarnauja kaip prieš ir po įrašas valymui.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dvi ribos vertos pasakyti tiesiai. Procesas toje pačioje prisijungusioje sesijoje gali iškviesti tą pačią apsaugos nuėmimo procedūrą, kurią naudoja klientas, todėl plombavimas yra apsauga ramybėje, o ne nuo pažeistos darbalaukio aplinkos. O be viso disko šifravimo užplombuota reikšmė yra tokia pat privati kaip diskas.

Kai profilio faile jau yra prisijungimas

Kai kurie portalai pateikia konfigūraciją, kurioje įrašytas paskyros vardas ir slaptažodis, todėl klientas jungiasi tyliai. Tuo metu failas yra veikiantys prisijungimo duomenys, o kiekviena jo kopija yra dar vienas raktas į tas pačias duris.

Tokie failai patenka į atsargines kopijas, pokalbių gijas ir sinchronizuojamus aplankus, ir nė viena iš tų kopijų nenustoja veikti ištrynus originalą. Vietinio failo redagavimas nieko nekeičia kituose. Prieigos atšaukimas reiškia slaptažodžio pakeitimą serveryje, ir tai reikia padaryti nedelsiant. Valymas viename nešiojamajame kompiuteryje yra atskira, mažesnė užduotis.

Kur užklausa priimtina, pirmenybę teikite jai ir naudokite kliento podėlio valdiklius. Jei iš anksto užpildytas profilis tikrai reikalingas, laikykite jį ne sinchronizuojamuose aplankuose ir pašalinkite, kai darbas baigiasi.

Automatizavimas perkelia paslaptį kitur

Scenarijai įveda dar du kanalus: proceso argumentus ir sintetinius klavišų paspaudimus. Failas, pavadintas komandinėje eilutėje, matomas viskam, kas gali skaityti proceso argumentus ar failo teises, o įrankio įvestas slaptažodis patenka į tą langą, kuris šiuo metu turi fokusą. Vienas paskelbtas pavyzdys taip įveda darbalaukio slaptažodį prieš paleisdamas klientą. Išsaugota vienkartinio slaptažodžio sėkla nusipelno tokios pat priežiūros, nes ji gali sugeneruoti kiekvieną būsimą kodą ir pergyvena vieną prisijungimą.

Gerensnis šablonas saugo paslaptį ten, kur ją gali skaityti tik paslaugos paskyra, remiasi dokumentuotomis kliento pakartotinio bandymo ir prisijungimo duomenų šaltinio parinktimis ir vengia įšvirkšto įvedimo privilegijų užklausose. Jei scenarijui reikia darbalaukio slaptažodžio teisėms pakelti, tai privilegijų dizaino, o ne VPN klausimas.

Valymas po pamesto įrenginio

Visų pirma atšaukite arba išjunkite paskyrą serveryje, nes vietinis trynimas negali panaikinti kopijos, kurią kas nors jau turi. Tada išvalykite įsimintas registro reikšmes, pašalinkite profilį ir visus prisijungimo duomenų failus, ir ieškokite įklijuotų slaptažodžių apvalkalo istorijoje bei scenarijų kataloguose.

Užrašykite, kas buvo pašalinta ir kada prieiga baigėsi. Ši pora atsako į vienintelį incidento peržiūros klausimą: ar kuri nors prisijungimo duomenų kopija dar veikė po to, kai įrenginys išėjo.