Iš naujo prisijungti prie Windows VPN neįrašant slaptažodžio į užduotį

Kiekvienas neprižiūrimo prisijungimo receptas anksčiau ar vėliau susiduria su tuo pačiu klausimu: kur gyvena slaptažodis. Populiarus atsakymas yra pats užduoties veiksmas, kuris jam yra ir blogiausia vieta. Egzistuoja du kiti projektai. Kuris tinka, priklauso nuo to, ar mašina gali autentifikuotis be žmogaus, ir ar serveris priima sertifikatus.

Ką užduoties veiksmas palieka perskaitoma

Suplanuotos užduoties argumentai yra jos apibrėžimo dalis, o ne paslėpta vykdymo reikšmė. Kiekvienas, kuris gali perskaityti užduotį, atkurti jos atsarginę kopiją arba eksportuoti jos XML, mato eilutę tiksliai taip, kaip ją įvedėte. Vykdymo metu ta pati eilutė atsiranda procesų sąraše. Stebėjimo agentas gali nukopijuoti ją į žurnalą, kurio niekada neperžiūrite.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Patikrinkite, prieš manydami priešingai. Pirmoji komanda išspausdina visą apibrėžimą, įskaitant veiksmą ir jo argumentus. Antroji parodo, kokius prisijungimo duomenis dabartinė paskyra išsaugojo podėlyje, kas svarbu toliau pateiktiems alternatyviems projektams. Jei slaptažodis rodomas užduoties XML, jo keitimas yra tik pusė taisymo, nes užduotis vis dar laiko seną reikšmę.

Ką iš tikrųjų duoda išsaugotas iš anksto bendrinamas raktas

Add-VpnConnection -L2tpPsk įrašo raktą į jungties telefonų knygos įrašą, o ne į užduotį. Tai mažesnis poveikio paviršius nei užduoties veiksmas. Tai vis tiek atkuriama paslaptis, nes mašinos administratorius gali perskaityti telefonų knygą.

Dviejų jūsų valdomų mašinų laboratorinei jungčiai šis mainas gali būti priimtinas. Bendro galinio taško naudotojo prisijungimo duomenims – ne. Pavadinti tai šifruota saugykla nekeičia, kas gali tai perskaityti. Telefonų knyga yra konfigūracijos failas. Planuokite asmeniui, kuris gali ją atidaryti, o ne tik asmeniui, kuris gali prisijungti kaip naudotojas.

Winlogon prisijungimo duomenys pašalina paslaptį ir prideda priklausomybę

-UseWinlogonCredential pasirenka kitą kelią. Jungtis autentifikuojasi su MSCHAPv2 pagal prisijungusio naudotojo prisijungimo duomenis. Šiai paskyrai nieko papildomo nesaugoma.

Pridedama priklausomybė yra reikšminga. Turi būti interaktyvus prisijungimas, iš kurio galima pasiskolinti, o tai pašalina paslaugos paskyrą ir užduotį prieš prisijungimą. Jungtis taip pat paveldi viską, ką to naudotojo prisijungimo duomenys gali pasiekti serveryje. Skaitykite jungiklį kaip teiginį apie tai, iš kur ateina prisijungimo duomenys, o ne kaip saugumo nustatymą. Jis keičia šaltinį ir nieko nekeičia tame, kaip serveris vėliau autorizuoja sesiją.

Autentifikavimas sertifikatu plečiasi, nes nieko nesaugoma

Kai serveris palaiko EAP-TLS, mašinos sertifikatas visiškai pašalina bendrinamą paslaptį, o atšaukimas vyksta sertifikato sluoksnyje. Užduotis, veikianti kaip SYSTEM, gali pateikti šį sertifikatą be interaktyvaus prisijungimo. Patvirtinkite, kad serveris priima autentifikavimą sertifikatu, prieš statydami ant jo. Projektas, priklausantis nuo nepalaikomo metodo, yra planas, o ne sprendimas. Tada nuspręskite, kur gyvena privatusis raktas: mašinos saugykla įrenginio tapatybei, naudotojo saugykla asmeniui.

Kai naudotojo vardo ir slaptažodžio išvengti neįmanoma, saugokite juos Credential Manager, apribotus pačios užduoties paskyra. Leiskite klientui juos skaityti iš ten, o ne iš argumento. Paslaptis, kurią užduotis gali gauti jos neišspausdindama, yra mažesnė problema nei įrašyta į jos apibrėžimą.

Peržiūrėkite artefaktus prieš kitą rotaciją

Žiūrėkite, kas saugoma, o ne ką ketinote. Patikrinkite kiekvieno naudotojo telefonų knygą, visų naudotojų kopiją, užduoties XML ir bet kurį scenarijų, kuris kviečia rinkimo komandą. Tada patvirtinkite, kad sertifikatas ar podėlyje saugomi prisijungimo duomenys yra apriboti paskyra, kurią naudoja užduotis, nes jūsų interaktyviajai paskyrai saugomi prisijungimo duomenys SYSTEM yra nematomi.

Užrašykite autentifikavimo metodą ir paskyrą pačios užduoties pastabose. Kitas žmogus, keisiantis serverio politiką, turi žinoti, kuris projektas naudojamas. Šis atsakymas nematomas vien iš prisijungimo elgsenos. Užrašykite jį ten, kur kita rotacija žiūrės pirmiausia.