auth-nocache ma’ fajl ta’ kredenzjali: jgħin jew jagħmel ħsara?

OpenVPN jipprintja fit-tnedija twissija li tissuġġerixxi auth-nocache, u r-risposta li tħajrek hija li żżid l-għażla u tara l-linja tispiċċa. Dak il-parir jassumi login interattiv. Hekk kif l-isem tal-utent u l-password jgħixu f’fajl, il-paragun jinbidel: l-għażla tieqaf tipproteġi l-kopja durabbli, u fuq klijent li jwarrab il-privileġġi tista’ aktar tard tkisser in-negozjati mill-ġdid. Żewġ mudelli ta’ ħażna jistħoqqilhom jinżammu separati qabel ma teditja profil.

Żewġ modi kif twieġeb it-talba tal-kredenzjali

L-ewwel mudell huwa persuna li tittajpja l-kredenzjali f’terminal, jew interfaċċa amministrattiva li żżommhom għas-sessjoni. OpenVPN iżomm dik il-kopja biex ikun jista’ jwieġeb in-negozjati mill-ġdid li jmiss mingħajr ma jerġa’ jistaqsi, u t-twissija hija eżattament dwar dan. Xejn fuq id-diska mhu involut, għalhekk l-unika ħaġa li trid tiġi protetta hija l-proċess li jżomm il-valur. Agħlaq il-klijent u l-kopja titlef miegħu.

It-tieni mudell huwa auth-user-pass li jindika lejn fajl, fejn il-fajl huwa l-maħżen u l-klijent jaqrah meta jkun meħtieġ valur. L-espożizzjoni li timporta hawn mhijiex il-memorja tal-proċess iżda l-permessi u s-sjieda ta’ dak il-fajl. It-twissija tat-tnedija tiġi mid-direttivi fil-konfigurazzjoni, mhux minn spezzjoni ta’ kif tforni l-password, għalhekk tidher fiż-żewġ mudelli u ma tindika lejn ħadd minnhom.

Il-bqija ta’ dan il-paragun joħroġ minn dik il-qasma: immaniġġjar tal-memorja għal mudell wieħed, immaniġġjar tal-fajl u identità tal-proċess għall-ieħor.

X’jarmi tassew auth-nocache

B’login interattiv, --auth-nocache ineħħi l-kopja maħżuna mill-memorja wara li tkun intużat. L-ispiża hija talba ġdida f’kull intervall ta’ negozjati mill-ġdid, għax id-dawra li jmiss ma tistax terġa’ tuża dak li ntarama.

B’login ibbażat fuq fajl il-klijent jista’ jerġa’ jaqra l-fajl, għalhekk it-tarmir huwa fil-biċċa l-kbira inviżibbli. Isir viżibbli f’post wieħed li n-nies ma jistennewx: wara li d-daemon iwarrab il-privileġġi, jekk il-fajl tal-kredenzjali ma jkunx jinqara mill-kont li taħtu qed jaħdem issa.

Żid l-għażla għax tifhem dan il-bdil, mhux għax dehret twissija. Għażla miżjuda biex log isir aktar sieket hija għażla li ħadd ma qies l-effett tagħha.

Fejn tinkiser it-triq ibbażata fuq fajl

Klijent li jibda bħala root biex jiftaħ l-apparat tat-tunnel u mbagħad jaqleb għal user u group jaqra l-fajl tal-kredenzjali darbtejn: darba qabel il-bidla, darba fin-negozjati mill-ġdid li jsegwu. Jekk il-fajl huwa fil-mod 600 u proprjetà ta’ root, it-tieni qari jonqos, u l-falliment jidher siegħa wara bħala żball ta’ awtentikazzjoni li jidher bħal problema tas-server. Iċċekkja l-log tal-klijent madwar l-intervall tan-negozjati mill-ġdid, imbagħad iċċekkja l-kont u l-fajl flimkien.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Iż-żewġ linji jimportaw. L-ewwel waħda tgħidlek min jista’ jaqra l-fajl, it-tieni tgħidlek min hu tassew id-daemon li qed jaħdem, u diskrepanza bejniethom tispjega falliment li l-ebda ttipjip mill-ġdid tal-password mhu se jsewwih.

Is-soluzzjonijiet prattiċi mhumiex glamurużi: erġa’ ċċaqlaq il-fajl għal direttorju u sid li l-kont tad-daemon jista’ jaqra, jew żomm il-qari privileġġjat u kkonferma li l-klijent tiegħek jaqra darba biss. Issolvix dan billi tagħmel il-fajl jinqara minn kulħadd.

Il-każ li tassew irid l-għażla

Login li jġorr kod ta’ darba jrid auth-nocache għal raġuni differenti. Kod ta’ darba jinħela bl-ewwel awtentikazzjoni, għalhekk kopja fil-cache hija inutli fin-negozjati mill-ġdid li jmiss u valur skadut jista’ saħansitra jerġa’ jindaqq.

Din hija domanda dwar it-tip ta’ kredenzjali, mhux dwar fejn tinħażen. Password statiku f’fajl protett għandu profil oppost: irid ikun jinqara f’kull negozjati mill-ġdid, u l-protezzjoni li għandek bżonn tinsab fuq il-fajl.

Żomm dawn iż-żewġ raġunijiet separati fil-kummenti tal-profil, inkella l-amministratur li jmiss jassumi li l-għażla qiegħda hemm għar-raġuni li hu kien jagħżel.

Il-paragun fi deċiżjoni waħda

Agħżel il-mudell interattiv meta jkun hemm persuna preżenti u l-freskezza timporta, u aċċetta t-talba ripetuta bħala l-ispiża tiegħu. Agħżel il-mudell tal-fajl meta l-klijent jaħdem mingħajr superviżjoni, u nefaq l-isforz fuq is-sjieda, il-mod u l-ħruġ mill-privileġġi.

L-ebda mudell ma jagħmel password maħżuna sigura waħdu, u l-ebda ma jagħmel it-twissija tat-tnedija sinifikanti.

Jekk it-twissija hija l-unika raġuni li ftaħt il-profil, innota d-deċiżjoni minflok għażla mhux spjegata: il-kredenzjali jiġu minn fajl li l-kont tad-daemon jista’ jaqra, negozjati mill-ġdid dehru jirnexxu, u it-taqsima dwar in-negozjati mill-ġdid fil-manwal OpenVPN 2.6 inqrat qabel ma nbidel l-intervall tagħha. Dik in-nota tgħix itwal minn kwalunkwe bandiera waħedha.