Neļaujiet NetworkManager rādīt saglabāto VPN paroli

NetworkManager var glabāt VPN paroli, lai savienojums paceltos bez jebkādas ievadīšanas, un tas var atkal parādīt šo vērtību redaktorā vai caur nmcli --show-secrets. Ir pieejami trīs īpašumtiesību modeļi, un attēlošanas uzvedība ir tikai simptoms tam, kuru jūs izvēlējāties. Vispirms izvēlieties modeli, pēc tam iestatiet tam atbilstošo karodziņu, nevis slēpiet lauku ar vietturi, kas mulsinās nākamo cilvēku.

Trīs īpašumtiesību modeļi

Pirmais modelis jautā katru reizi. Nekas netiek glabāts, noslēpums pastāv tikai aktivizācijas laikā, un ikvienam, kas sāk savienojumu, ir jāzina parole. Šī ir vismazāk ērtā iespēja un visvieglāk aizstāvamā.

Otrais nodod noslēpumu lietotājam piederošai atslēgu kopai. Aģents atslēdzas, kad sākas sesija, un piegādā vērtību pēc pieprasījuma, kas to tur ārpus savienojuma faila, bet saista savienojumu ar šī lietotāja sesiju. No tā izriet divi nosacījumi: aģentam jādarbojas un jābūt atslēgtam.

Trešais glabā aizsargātu akreditācijas datu kopu sistēmas savienojumam. Tas pārdzīvo pārstartēšanu un darbojas pirms kāds piesakās, un pretī vērtība atrodas diskā, ko sargā faila atļaujas, nevis šifrēšana.

Katrs modelis ir saprātīgs pareizajā kontekstā. Kļūda ir tos sajaukt, un tā klēpjdators nonāk ar noslēpumu divās vietās un bez skaidras atbildes, kurš ir noteicošais. Pierakstiet, kuru modeli izmanto profils. Viena rinda komandas rokasgrāmatā ietaupa nākamajam cilvēkam ceturtās meklēšanas vietas izgudrošanu.

Izlasiet pašreizējo stāvokli pirms tā maiņas

Apskatiet profilu un noslēpuma stāvokli kā lietotājs, kas pārvalda savienojumu. Otrā komanda ir tā, kas pasaka, vai vērtība patiešām ir nolasāma.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Atslēgas fails šajā mapē parasti pieder root ar režīmu 600. Tas tur ārā parastos lietotājus un netur ārā root, kas ir svarīgi, ja tā pati mašīna tiek koplietota vai ja dublējums darbojas kā root.

Faila atļaujas ir robeža, nevis šifrēšana. Ikviens, kas var nolasīt failu kā root, iegūst paroli atklātā tekstā. Tas ir pieņemams darījums neuzraudzītam serverim un slikts koplietotai darbstacijai. Vienreiz pierakstīts, tas novērš ilgu strīdu par to, vai vērtība ir aizsargāta.

Ko dara katra karodziņa vērtība

VPN noslēpumam ir īpašība flags, un vērtības nav intuitīvas tikai no skaitļiem.

Faktiskā uzvedība ir atkarīga arī no spraudņa un no tā, vai darbojas aģents, tāpēc uzskatiet tabulu par līgumu, bet novēroto uzvedību par to, ko pārbaudāt. Vērtība, kas darbojas vienā darbvirsmā, serverī bez sesijas var uzvesties citādi. Tieši šajā plaisā dzīvo lielākā daļa mulsinošo pieteikumu.

Iestatiet īpašību skaidri, nevis dzēsiet rindu un ceriet. Trūkstošs karodziņš nav politika, un nākamais pakotnes atjauninājums var to aizpildīt ar kaut ko, ko neesat paredzējis.

Saskaņojiet modeli ar to, kad savienojums sākas

Ja savienojums sākas tikai tad, kad lietotājs ir pieteicies, aģenta īpašumtiesības labi der un tur noslēpumu ārpus faila. Ja tas sākas palaišanas laikā, pirms pastāv jebkāda sesija, aģents nevar jums palīdzēt.

Tas ir viss lēmums lielākajai daļai mašīnu. Tas arī izskaidro mulsinošu ziņojumu klasi, kur savienojums darbojas interaktīvi un neizdodas pēc pārstartēšanas. Karodziņš nekad nav mainījies; mainījies ir konteksts.

Neuzraudzītā gadījumā praktiskā atbilde ir ierobežots root piederošs fails vai apstiprināts akreditācijas datu avots. Turiet to ārpus savienojuma profila, ja šis profils kādreiz tiek eksportēts vai kopēts uz citu mašīnu.

Ja vērtība jau bija redzama, nomainiet to

Karodziņa maiņa pašu paroli neaizskar. Vērtība, kas parādījās ekrānuzņēmumā, shell vēsturē, atbalstam nosūtītā pakotnē vai failā, ko citi lietotāji varēja atvērt, uzskatāma par atklātu.

Nomainiet to serverī, pēc tam salabojiet klientu un pārtrauciet jebkuru sesiju, kas autentificējās ar veco. Vietējā savienojuma dzēšana otrā pusē neko neatceļ, un tieši šo daļu cilvēki izlaiž.

Pēc tam pārstājiet likt paroli komandrindā. Tā nonāk shell vēsturē un var parādīties procesu sarakstā; izmantojiet interaktīvo uzvedni vai aģentu.

Pārbaudiet, atkārtoti pieslēdzoties

Atkārtojiet komandu, kas parādīja noslēpumu, un apstipriniet, ka lauks vairs netiek drukāts. Pēc tam atvienojieties un pievienojieties vēlreiz, un pārstartējiet, ja savienojums sākas automātiski, jo interesantā kļūme parādās tikai tad, kad mainās sesijas konteksts.

Ja noslēpums joprojām parādās, to piegādā cits profils vai cits aģents. Pārbaudiet aktīvo savienojumu un atslēgu kopu, nevis dzēsiet failus, līdz simptoms pārvietojas.