Hentikan NetworkManager daripada memaparkan kata laluan VPN yang disimpan
Tanya setiap kali, serahkan kepada gelang kunci atau simpan fail khusus untuk root. Setiap pilihan membawa pendedahan berbeza, dan bendera kata laluan harus sepadan dengannya.
NetworkManager boleh menyimpan kata laluan VPN supaya sambungan naik tanpa sesiapa menaipnya, dan ia boleh memaparkan semula nilai itu melalui editor atau melalui nmcli --show-secrets. Terdapat tiga model pemilikan, dan tingkah laku paparan hanyalah gejala model yang anda pilih. Pilih model itu dahulu, kemudian tetapkan bendera yang sepadan dengannya, bukannya menyembunyikan medan dengan pemegang tempat yang akan mengelirukan orang seterusnya.
Tiga model pemilikan
Model pertama bertanya setiap kali. Tiada apa disimpan, rahsia hanya wujud sepanjang pengaktifan, dan sesiapa yang memulakan sambungan mesti tahu kata laluannya. Ia pilihan paling tidak selesa dan paling mudah dipertahankan.
Model kedua menyerahkan rahsia kepada gelang kunci milik pengguna. Ejen membuka kunci apabila sesi bermula dan membekalkan nilai atas permintaan, yang menyimpannya di luar fail sambungan tetapi mengikat sambungan kepada sesi pengguna itu. Dua syarat menyusul: ejen mesti berjalan, dan ia mesti dibuka kuncinya.
Model ketiga menyimpan kelayakan terlindung untuk sambungan sistem. Ia bertahan selepas but semula dan berfungsi sebelum sesiapa log masuk, dan sebagai balasan nilai itu terletak pada cakera yang dilindungi oleh kebenaran fail, bukan penyulitan.
Setiap model munasabah dalam konteks yang betul. Kesilapannya ialah mencampurkannya, dan begitulah komputer riba berakhir dengan rahsia di dua tempat dan tanpa jawapan jelas mana yang berwibawa. Catat model yang digunakan oleh sesuatu profil. Satu baris dalam buku panduan pasukan menyelamatkan orang seterusnya daripada mencipta tempat carian keempat.
Baca keadaan semasa sebelum mengubahnya
Lihat profil dan keadaan rahsia sebagai pengguna yang menguruskan sambungan. Perintah kedua ialah yang memberitahu anda sama ada nilai itu benar-benar boleh dibaca.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionFail kunci dalam direktori itu biasanya dimiliki root dengan mod 600. Itu menjauhkan pengguna biasa dan tidak menjauhkan root, yang penting apabila mesin yang sama dikongsi atau apabila sandaran berjalan sebagai root.
Kebenaran fail ialah sempadan, bukan penyulitan. Sesiapa yang boleh membaca fail itu sebagai root mempunyai kata laluan dalam teks biasa. Itu pertukaran yang wajar untuk pelayan tanpa pengawasan dan buruk untuk stesen kerja yang dikongsi. Menulisnya sekali menghalang perdebatan panjang tentang sama ada nilai itu dilindungi.
Apa yang dilakukan setiap nilai bendera
Rahsia VPN membawa sifat flags, dan nilainya tidak intuitif hanya daripada nombornya.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Tingkah laku sebenar juga bergantung pada pemalam dan sama ada ejen berjalan, jadi anggap jadual itu sebagai kontrak dan tingkah laku yang diperhatikan sebagai perkara yang anda sahkan. Nilai yang berfungsi pada satu desktop mungkin berkelakuan berbeza pada pelayan tanpa sesi. Di celah itulah kebanyakan tiket yang mengelirukan berada.
Tetapkan sifat itu secara eksplisit daripada memadam baris dan berharap. Bendera yang tiada bukan dasar, dan kemas kini pakej seterusnya mungkin mengisinya dengan sesuatu yang tidak anda maksudkan.
Padankan model dengan masa sambungan bermula
Jika sambungan hanya bermula semasa pengguna log masuk, pemilikan ejen sesuai dan menjauhkan rahsia daripada fail. Jika ia bermula semasa but, sebelum ada sesi, ejen tidak dapat membantu anda.
Itulah keseluruhan keputusan untuk kebanyakan mesin. Ini juga menjelaskan satu kelas laporan mengelirukan di mana sambungan berfungsi secara interaktif dan gagal selepas but semula. Bendera itu tidak pernah berubah; konteksnya yang berubah.
Untuk kes tanpa pengawasan, jawapan praktikalnya ialah fail terhad milik root atau sumber kelayakan yang diluluskan. Jauhkan ia daripada profil sambungan jika profil itu pernah dieksport atau disalin ke mesin lain.
Jika nilai itu sudah pernah kelihatan, tukarkannya
Menukar bendera membiarkan kata laluan itu sendiri tidak tersentuh. Nilai yang muncul dalam tangkapan skrin, dalam sejarah shell, dalam berkas yang dihantar kepada sokongan atau dalam fail yang boleh dibuka pengguna lain harus dianggap telah terdedah.
Tukarkannya pada pelayan, kemudian betulkan klien dan tamatkan mana-mana sesi yang disahkan dengan yang lama. Memadam sambungan tempatan tidak membatalkan apa-apa di sebelah sana, dan itulah bahagian yang orang terlepas pandang.
Kemudian berhenti meletakkan kata laluan pada baris arahan. Ia masuk ke sejarah shell dan boleh muncul dalam senarai proses; gunakan gesaan interaktif atau ejen sebaliknya.
Sahkan dengan menyambung semula
Ulang perintah yang memaparkan rahsia itu dan pastikan medan itu tidak lagi dicetak. Kemudian putuskan dan sambung semula, dan but semula jika sambungan bermula secara automatik, kerana kegagalan yang menarik hanya muncul apabila konteks sesi berubah.
Jika rahsia itu masih muncul, profil lain atau ejen lain yang membekalkannya. Periksa sambungan aktif dan gelang kunci daripada memadam fail sehingga gejalanya berpindah.