OpenVPN GUI menyimpan kata laluan Windows saya: di mana ia berada

Dialog sambungan menawarkan kotak semak untuk mengingati log masuk, dan menandakannya memindahkan butiran akaun daripada kepala pengguna ke mesin. Antara muka tidak pernah menyatakan di mana. Pada Windows, calonnya ialah kawasan registri pengguna semasa, fail profil yang sudah membawa log masuk, dan apa yang dilakukan skrip automasi. Setiap lokasi mempunyai pembaca berbeza, mod kegagalan berbeza dan pembersihan berbeza, jadi soalan berguna ialah proses mana yang boleh memulihkan rahsia itu dan berapa lama. Ikuti kotak semak keluar dari dialog, kemudian tentukan apa yang sebenarnya didedahkan komputer riba yang hilang.

Mulakan dengan kotak semak dalam dialog sambungan

Nilai yang diingati disimpan mengikut profil dan mengikut akaun Windows, dalam hive pengguna dan bukan dalam stor mesin kongsi. Sebab itu pengguna kedua pada komputer yang sama tidak melihat log masuk tersimpan, dan sebab itu memasang semula klien tidak semestinya memadam entri tersimpan.

Fail profil itu sendiri menyimpan pelayan, port dan tetapan tetapi bukan rahsia, dan sebab itu orang memeriksa artifak yang salah dahulu. Memadam profil itu oleh itu membuang sambungan dan meninggalkan kelayakan. Itulah kejutan yang paling biasa semasa pembersihan. Buang kedua-dua artifak, bukan satu.

Apa yang didedahkan nilai registri

Nama akaun berada dalam teks yang boleh dibaca, jadi apa sahaja yang berjalan sebagai pengguna itu boleh menyahkodnya tanpa panggilan khas. Kata laluan berbeza: ia dimeterai dengan Windows DPAPI, terikat pada akaun dan, bergantung pada bendera, pada mesin tertentu. Membawa blok bermeterai ke komputer lain dan memainkannya semula oleh itu tidak menghasilkan rahsia yang boleh digunakan.

Menyenaraikan nilai menjawab soalan operasi tanpa menyentuh rahsia itu sendiri. Tiada apa yang perlu dinyahsulit untuk mengesahkan entri wujud. Senarai itu juga berfungsi sebagai rekod sebelum dan selepas untuk pembersihan.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dua had patut dinyatakan secara terus. Proses dalam sesi log masuk yang sama boleh memanggil rutin penyahperlindungan yang sama seperti klien, jadi pemeteraian ialah perlindungan semasa rehat dan bukan terhadap desktop yang telah diceroboh. Dan tanpa penyulitan cakera penuh, nilai bermeterai hanya sepersendirian cakera.

Apabila fail profil sudah mengandungi log masuk

Sesetengah portal memberikan konfigurasi dengan nama akaun dan kata laluan tertulis di dalamnya, jadi klien bersambung secara senyap. Pada ketika itu fail itu ialah kelayakan yang berfungsi, dan setiap salinannya ialah kunci lain untuk pintu yang sama.

Fail sedemikian berakhir dalam sandaran, utas sembang dan folder yang disegerakkan, dan tiada salinan itu berhenti berfungsi apabila yang asal dipadam. Menyunting fail tempatan tidak mengubah apa-apa pada yang lain. Membatalkan akses bermakna menukar kata laluan pada pelayan, dan melakukannya dengan segera. Pembersihan pada satu komputer riba ialah tugas berasingan yang lebih kecil.

Di mana gesaan boleh diterima, utamakan itu dan gunakan kawalan cache klien. Jika profil yang telah diisi benar-benar diperlukan, jauhkan daripada folder yang disegerakkan dan buangkannya apabila kerja selesai.

Automasi memindahkan rahsia ke tempat lain

Skrip memperkenalkan dua lagi saluran: argumen proses dan ketukan kekunci sintetik. Fail yang dinamakan pada baris arahan kelihatan kepada apa sahaja yang boleh membaca argumen proses atau kebenaran fail, dan kata laluan yang ditaip alat pergi ke tetingkap yang sedang mempunyai fokus. Satu contoh yang diterbitkan menaip kata laluan desktop dengan cara itu sebelum melancarkan klien. Benih kata laluan sekali guna yang disimpan wajar mendapat penjagaan yang sama, kerana ia boleh menjana setiap kod masa depan dan hidup lebih lama daripada satu log masuk.

Corak yang lebih baik menyimpan rahsia di tempat yang hanya akaun perkhidmatan boleh membacanya, bergantung pada pilihan cubaan semula dan sumber kelayakan klien yang didokumenkan, dan mengelakkan pengetikan yang disuntik pada gesaan keistimewaan. Jika skrip memerlukan kata laluan desktop untuk peningkatan, itu soalan reka bentuk keistimewaan, bukan VPN.

Pembersihan selepas peranti hilang

Batalkan atau lumpuhkan akaun pada pelayan sebelum apa-apa lagi, kerana pemadaman tempatan tidak boleh membatalkan salinan yang sudah dipegang seseorang. Kemudian bersihkan nilai registri yang diingati, buang profil dan mana-mana fail kelayakan, dan cari kata laluan yang ditampal dalam sejarah shell dan direktori skrip.

Catat apa yang dibuang dan bila akses berakhir. Pasangan itu menjawab satu-satunya soalan yang ditanya oleh semakan insiden: adakah mana-mana salinan kelayakan masih berfungsi selepas peranti itu pergi.