auth-nocache ar akreditācijas failu: palīdz vai kaitē?

OpenVPN palaišanas laikā izdrukā brīdinājumu, kas iesaka auth-nocache, un kārdinošā atbilde ir pievienot opciju un vērot, kā rinda pazūd. Šis padoms paredz interaktīvu pieteikšanos. Kad lietotājvārds un parole dzīvo failā, salīdzinājums mainās: opcija pārstāj aizsargāt noturīgo kopiju, un klientā, kas atsakās no privilēģijām, tā vēlāk var salauzt atkārtotas pārrunas. Divus glabāšanas modeļus ir vērts turēt šķirti pirms profila rediģēšanas.

Divi veidi, kā atbildēt uz akreditācijas pieprasījumu

Pirmais modelis ir cilvēks, kas ievada akreditācijas datus terminālī, vai pārvaldības saskarne, kas tos tur sesijas laikā. OpenVPN patur šo kopiju, lai varētu atbildēt uz nākamajām atkārtotajām pārrunām, nejautājot vēlreiz, un brīdinājums ir tieši par to. Diskā nekas nav iesaistīts, tāpēc vienīgais aizsargājamais ir process, kas tur vērtību. Aizveriet klientu, un kopija pazūd kopā ar to.

Otrais modelis ir auth-user-pass , kas norāda uz failu, kur fails ir glabātuve un klients to nolasa, kad vajadzīga vērtība. Šeit svarīgā pakļautība nav procesa atmiņa, bet gan šī faila atļaujas un īpašumtiesības. Palaišanas brīdinājums nāk no konfigurācijas direktīvām, nevis no pārbaudes, kā jūs piegādājat paroli, tāpēc tas parādās abos modeļos un nenorāda uz nevienu.

Pārējais šajā salīdzinājumā izriet no šī dalījuma: atmiņas apstrāde vienam modelim, faila apstrāde un procesa identitāte otram.

Ko auth-nocache faktiski izmet

Interaktīvas pieteikšanās gadījumā --auth-nocache noņem saglabāto kopiju no atmiņas pēc tās izmantošanas. Izmaksa ir jauns pieprasījums katrā atkārtotu pārrunu intervālā, jo nākamā kārta nevar atkārtoti izmantot to, kas tika izmests.

Pieteikšanās gadījumā ar failu klients var failu nolasīt vēlreiz, tāpēc izmešana lielākoties ir neredzama. Tā kļūst redzama vienā vietā, kur cilvēki to negaida: pēc tam, kad dēmons atsakās no privilēģijām, ja akreditācijas failu nevar nolasīt konts, ar kuru tas tagad darbojas.

Pievienojiet opciju tāpēc, ka saprotat šo apmaiņu, nevis tāpēc, ka parādījās brīdinājums. Opcija, kas pievienota, lai žurnāls būtu klusāks, ir opcija, kuras ietekmi neviens nav mērījis.

Kur lūzt uz failu balstītais ceļš

Klients, kas startē kā root, lai atvērtu tuneļa ierīci, un pēc tam pārslēdzas uz user un group , nolasa akreditācijas failu divas reizes: vienreiz pirms pārslēgšanās, vienreiz nākamajās atkārtotajās pārrunās. Ja faila režīms ir 600 un tas pieder root, otrā nolasīšana neizdodas, un kļūme parādās stundu vēlāk kā autentifikācijas kļūda, kas izskatās pēc servera problēmas. Pārbaudiet klienta žurnālu ap atkārtotu pārrunu intervālu, pēc tam pārbaudiet kontu un failu kopā.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Abas rindas ir svarīgas. Pirmā pasaka, kas var nolasīt failu, otrā – kas patiesībā ir darbojošais dēmons, un neatbilstība starp tām izskaidro kļūmi, ko nekāda paroles pārrakstīšana nelabos.

Praktiskie labojumi nav grezni: pārvietojiet failu uz mapi un pie īpašnieka, ko var nolasīt dēmona konts, vai saglabājiet privileģēto nolasīšanu un apstipriniet, ka jūsu klients lasa tikai vienreiz. Nerisiniet to, padarot failu lasāmu visiem.

Gadījums, kas opciju patiešām vēlas

Pieteikšanās ar vienreizēju kodu vēlas auth-nocache cita iemesla dēļ. Vienreizējais kods tiek iztērēts pirmajā autentifikācijā, tāpēc kešatmiņā saglabātā kopija nākamajās atkārtotajās pārrunās ir bezjēdzīga, un novecojusi vērtība varētu pat tikt atkārtoti atskaņota.

Tas ir jautājums par akreditācijas datu veidu, nevis par to, kur tie glabājas. Statiskai parolei aizsargātā failā ir pretējs profils: tai jābūt nolasāmai katrās atkārtotajās pārrunās, un nepieciešamā aizsardzība ir uz faila.

Turiet šos divus iemeslus atsevišķi profila komentāros, citādi nākamais administrators pieņems, ka opcija ir tur tā iemesla dēļ, kuru viņš būtu izvēlējies.

Salīdzinājums vienā lēmumā

Izvēlieties interaktīvo modeli, kad cilvēks ir klāt un svaigums ir svarīgs, un pieņemiet atkārtoto pieprasījumu kā tā izmaksu. Izvēlieties faila modeli, kad klients darbojas bez uzraudzības, un ieguldiet pūles īpašumtiesībās, režīmā un privilēģiju atdošanā.

Neviens modelis pats par sevi nepadara glabāto paroli drošu, un neviens nepadara palaišanas brīdinājumu jēgpilnu.

Ja brīdinājums bija vienīgais iemesls, kāpēc atvērāt profilu, pierakstiet lēmumu, nevis neizskaidrotu opciju: akreditācijas dati nāk no faila, ko var nolasīt dēmona konts, atkārtotas pārrunas ir redzētas sekmīgas, un OpenVPN 2.6 rokasgrāmatas sadaļa par atkārtotām pārrunām tika izlasīta pirms tās intervāla maiņas. Šī piezīme pārdzīvo jebkuru atsevišķu karodziņu.