Kur Linux turėtų saugoti jūsų VPN slaptažodį? Ne profilyje
NetworkManager slaptumo vėliavėlės nusprendžia, ar slaptažodį laiko profilis, raktų saugyklos agentas, ar niekas. Atsakymas priklauso nuo to, kada prisijungimas pradedamas.
VPN slaptažodis turi kažkur gyventi: prisijungimo profilyje, raktų saugykloje, kurią atrakina darbalaukis, arba niekur. NetworkManager šį pasirinkimą vadina slaptumo vėliavėle, ir netinkamos pasirinkimas yra priežastis, kodėl prisijungimas veikia po prisijungimo, bet nepavyksta kaip tarnyba. Vėliavėlė yra viena konfigūracijos eilutė, ir ji nulemia, kurį iš tų trijų rezultatų gausite.
Trys vėliavėlės apima beveik visus atvejus, o sprendimas susijęs su tuo, kada prisijungimas pradedamas.
Trys slaptumo vėliavėlės, trys elgsenos
Vėliavėlė 0 reiškia, kad slaptažodis saugomas kartu su prisijungimu, bet kurioje saugykloje bebūtų profilis. Vėliavėlė 1 padaro jį agento nuosavybe: slaptažodis ateina iš slaptumo agento, pavyzdžiui, darbalaukio raktų saugyklos, ir NetworkManager jo paprašo aktyvinimo metu. Vėliavėlė 2 reiškia nesaugomas, todėl slaptažodis niekada neįrašomas ir turi būti pateikiamas kaskart. Vėliavėlė 4 pažymi slaptažodį kaip nereikalingą prisijungimams, kuriems jo tikrai nereikia.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Nustatykite vėliavėles kiekvienam slaptažodžiui, o ne prisijungimui. Vienas prisijungimas gali turėti agento nuosavybėje esantį slaptažodį ir išsaugotą privataus rakto frazę.
Spręskite pagal tai, kada prisijungimas pradedamas
Jei prisijungimą pradeda prisijungęs naudotojas, agento nuosavybė yra pagrįstas numatytasis nustatymas: raktų saugykla atrakina prisijungimo metu, o slaptažodis niekada neguli faile. Jei prisijungimas turi iškilti prieš kam nors prisijungiant, agento nuosavybė yra netinkamas pasirinkimas, nes nėra sesijos raktų saugyklos, kurią būtų galima atrakinti.
Tai ir yra visas sprendimas. Visa kita yra jo variantas.
Tarnybai prieš prisijungimą palaikomas modelis yra sistemos lygmens saugykla arba apsaugotas rakto failas, o apsauga tampa failo teisės. Nespręskite problemos įklijuodami slaptažodį į apvalkalo scenarijų, paleidžiamą įkrovimo metu.
Ką raktų saugykla duoda, o ko ne
Raktų saugykla laiko slaptažodį už prisijungimo profilio ir susieja jį su naudotojo sesija. Ji nepadaro slaptažodžio prieinamo tarnybai be sesijos ir nieko neužšifruoja tinkle. Tai atskiros savybės, kurias žmonės dažnai sulieja. Ką ji tikrai duoda, tai mažesnis žalos spindulys, kai nuteka profilio failas.
Privatus raktas, į kurį nurodo profilis, turi savo teises, nepriklausomai nuo to, kur gyvena slaptažodis.
Diagnostika neišpilant slaptažodžių
Prisijungimų pavadinimų, UUID ir vėliavėlių paprastai pakanka gedimui paaiškinti. nmcli connection show išvardija profilį, o slaptumo vėliavėlės pasako, iš kur slaptažodis turėjo ateiti.
Venkite --show-secrets bilietuose ir pokalbiuose. Kai jis įklijuotas, tai yra prisijungimo duomenys transkripcijoje.
Saugojimas nėra atšaukimas
Slaptažodžio pašalinimas iš vienos raktų saugyklos nepanaikina prisijungimo duomenų, kuriuos nuotolinis operatorius jau priėmė. Paskyros atšaukimas yra veiksmas serverio pusėje, o vietinis saugojimas yra atskiras klausimas su atskiru savininku.
Spręskite abu prieš incidentą, o ne jo metu. Interaktyvus naudotojo prisijungimas ir tarnyba prieš prisijungimą reikalauja skirtingų atsakymų, o bendras apvalkalo scenarijus nėra nė vienas. NetworkManager slaptumo vėliavėlių dokumentacija išvardija reikšmes visiškai.