OpenVPN auth-nocache: дараагийн нэвтрэлтэд юу болох вэ

auth-nocache-г асаахад нууц үгийг кэшлэх тухай анхааруулга алга болж, OpenVPN дараагийн дахин хэлэлцээрт зориулж хадгалсан нэвтрэх мэдээллийн хуулбар ч хамт алга болно. Энэ нь асуулт, чимээгүй дахин оролдлого эсвэл тасарсан туннель болох эсэх нь хоёр дахь удаагаа нэвтрэх мэдээлэл хаанаас ирэхээс хамаарна. Тиймээс энэ нь байршуулалтын хэлбэрүүдийн харьцуулалт бөгөөд сонголтын талаарх шийдвэр биш. Аль ч профайлыг засахаас өмнө бодитоор ажиллуулж буй хэлбэрээ уншина уу.

Нэвтрэх мэдээллийн хоёр дахь багц хаанаас ирэх ёстой вэ

OpenVPN нь auth-nocache-г auth-user-pass болон askpass-ийн цуглуулсан нууцуудад хэрэглэдэг: ашиглагдсаны дараа процесс тэдгээрийг дараагийн гар барих ажиллагаанд хадгалахын оронд хаядаг. Дахин хэлэлцээр таймерын дагуу, анхдагчаар цагт нэг удаа ирдэг тул хоёр дахь хүсэлт нь нууц үг бичсэн хүн аль хэдийн явсны дараа ирдэг. Тэр завсар л бүх түүх. Кэшийг асаалттай үлдээвэл клиент хадгалсан хуулбарыг хэнд ч асуулгүй дахин тоглуулна; унтраавал нууцыг өөр газраас олох эсвэл бүтэлгүйтэх ёстой.

Тиймээс тэр мөчид нууц хаанаас ирж болох бүх газрыг жагсааж, тэдгээрийн аль нь хост дээр байгааг шударгаар хэлээрэй. Терминалын өмнө сууж буй хүн, auth-user-pass эсвэл askpass уншиж чадах файл, эсвэл серверийн олгосон сессийн токен — эдгээр гурав нь энд чухал. Хэрэв эдгээрийн аль нь ч боломжгүй бол дахин хэлэлцээр өөрчлөлтөөс хойш нэг цагийн дараа бүтэлгүйтнэ, таны хийсэн тэр мөчид биш.

Гурван хэлбэр, гурван бүтэлгүйтлийн цэг

Өмнө нь хүн сууж буй ширээний клиент бол хөнгөн тохиолдол: асуулт буцаж ирнэ, хэн нэгэн нууц үгийг дахин бичнэ, үнэ нь анхаарал. Терминалгүйгээр OpenVPN ажиллуулж буй үйлчилгээ, контейнер эсвэл маршрутизатор бол хүнд тохиолдол, учир нь хариулах хүн байхгүй бөгөөд өмнө нь чимээгүй байсан дахин холболт одоо туннелийг дуусгадаг. Хибрид нь хоёрын хооронд байрлаж, асуултад хариулж чадах сесс алга болтол ширээний тохиолдол шиг ажиллана. Тэднийг ялгадаг зүйл нь GUI суулгасан эсэх биш, харин дахин хэлэлцээрийн үед нэвтрэх мэдээллийн эх сурвалж байгаа эсэх юм.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө байршуулалтаа эдгээр гуравын аль нэгэнд тохируул, учир нь интернэтээс олддог зөвлөгөө бараг үргэлж эхнийхэд зориулагдсан байдаг. Ширээний хариултыг терминалгүй үйлчилгээнд хэрэглэх нь сарын турш ажилласан туннель цаг тутамд унаж эхлэх зам юм.

Заавар эсвэл флаг: нэгийг сонгож, алийг нь ашигласнаа мэдэж байгаарай

Профайл дотор auth-nocache нь тусдаа мөр; профайлыг тодорхой нэрлэсэн дуудалтад энэ нь тухайн командын мөрийн флаг бөгөөд OpenVPN гарын авлага хоёр хэлбэрийг жагсаасан. Хоёулаа нэвтрэх мэдээллийг хадгалахад ижил үйлчилнэ, аль нь ч интерфэйсийн төрөлд хүрэхгүй, нэг лог дахь хамааралгүй анхааруулгыг засварлахгүй. Ялгаа нь тогтвортой байдал: флаг зөвхөн тухайн ажиллагааг хамардаг тул unit файл эсвэл боодол скриптээс дахин эхэлсэн үйлчилгээнд боодол нь бас дамжуулахгүй бол энэ нь байхгүй.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Ямар артефакт энэ тохиргоог эзэмшихийг шийдэж, зөвхөн тэнд өөрчил, өөр газар бүү өөрчил. Зөөврийн компьютер дээр зассан профайл болон түүнийг флагаар дарж бичих systemd unit нь дахин ачаалсны дараа зөрчилтэй зан төлөв үүсгэдэг хос юм.

Нэвтрэх мэдээллийн файл нууцыг устгахын оронд зөөдөг

auth-user-pass-ийг файл руу чиглүүлэх нь дараагийн дахин хэлэлцээр бүрд эх сурвалж өгч, нууц үгийг дахин ачааллаас амьд үлддэг газарт тавьдаг. Тэр файлыг хэн уншиж болох, давуу эрхээ өгсний дараа демон үүнийг уншиж чадах эсэх, файлын систем зөвхөн уншихаар холбогдсон эсвэл контейнерийн харагдац зам мөрийг нуувал юу болохыг асуу. Диск дээрх нууц ба санах ой дахь нууц нь өөр асуудал, нэгийг шийдэх нь нөгөөг байранд нь үлдээдэг. Ротаци бол алгасагддаг алхам: сервер дээр сольсон ч файл дээр солиогүй нууц үг сүлжээний гэмтэл мэт уншигддаг бүтэлгүйтэл үүсгэдэг.

Файлыг демоныг ажиллуулж буй бүртгэлийн эзэмшилд байлгаж, өөр хэн ч уншиж чадахгүй, хост орхих нөөц хуулбараас гадуур байлга. OpenVPN-ийн сервер талын auth-gen-token сонголт амжилттай нэвтрэлтийн дараа клиентэд сессийн токен өгдөг бөгөөд энэ нь бүртгэлийн нууц үгээс эргэн тойронд үлдээхэд жижиг зүйл юм. Ямар ч тохиолдолд ротацийн алхмыг файлын хажууд бич, учир нь файл ихэвчлэн түүнийг бүтээсэн хүнээс урт насалдаг.

Дахин хэлэлцээрийг сунгах нь зардлыг зөөдөг, арилгадаггүй

Нөгөө санал бол reneg-sec-ийг асуултыг үл тоомсорлож болохуйц ховор болтол өсгөх юм. Энэ нь сессийн түлхүүр ротацийн хуваарийг дахин бичиж, мөн нэвтрэх мэдээллийн асуудлыг илүү хожуу, таамаглахад хэцүү мөч рүү түлхдэг; энэ нь нэвтрэх мэдээллийн эх сурвалж үүсгэдэггүй. Ямар нэг шалтгаанаар хуваарийн дагуу түлхүүр шинэчилдэг бодлогыг зөвхөн нууц үг бичихээс зайлсхийх үүднээр сулруулж болохгүй.

Одоо сууж буй сессээ биш, дахин холболтыг туршиж үз, учир нь амьд сесс юу ч нотолдоггүй. Туннелийг сервер талаас унагах эсвэл клиентийн үйлчилгээг дахин эхлүүлж, гарны тавцан дээр хэн ч байхгүй үед дараагийн дахин хэлэлцээр юу хийхийг ажигла. Хэрэв энэ дахин холбогдвол нууцыг өгсөн механизмыг нэрлэ; үгүй бол энэ хост дээрх сонголтын жинхэнэ үнийг олсон байна. Аль ч үр дүн танд туршилтын үед тогтсон хариулт биш, тасалдлын үед тогтдог хариулт өгдөг.

Удирдлагатай флот дээр байршуулалтыг эзэмшигч гурван зүйлийг нэрлэж чадах ёстой: нэвтрэх мэдээлэл хаанаас ирдэг, хаана хадгалагддаг, хэн тэдгээрийг ротаци хийдэг. Хэрэв эдгээр хариултын аль нэг нь хост тохируулсан хүн бол сонголт тэнд одоохондоо аюулгүй биш.