OpenVPN auth-nocache: x’jiġri fil-login li jmiss

Ixgħel auth-nocache u t-twissija dwar il-cache tal-password tisparixxi, flimkien mal-kopja tal-kredenzjali li OpenVPN kien qed iżomm għan-negozjazzjoni mill-ġdid li jmiss. Jekk dan isirx talba, tentattiv mill-ġdid sieket jew mina maqtugħa jiddependi minn fejn jiġu l-kredenzjali t-tieni darba. Għalhekk dan huwa tqabbil bejn forom ta’ skjerament u mhux verdett dwar l-għażla. Aqra l-forma li tassew tmexxi qabel ma tedita kwalunkwe profil.

Minn fejn irid jiġi t-tieni sett ta’ kredenzjali

OpenVPN japplika auth-nocache għas-sigrieti miġbura minn auth-user-pass u askpass: ladarba jintużaw, il-proċess jarmihom minflok ma jżommhom għall-handshake li jmiss. Negozjazzjoni mill-ġdid tasal b’timer, b’mod awtomatiku darba fis-siegħa, għalhekk it-tieni talba tasal ħafna wara li l-persuna li kitbet il-password tkun marret. Dak il-vojt huwa l-istorja kollha. Jekk il-cache jibqa’ mixgħul, il-klijent jerġa’ jdaqq il-kopja maħżuna mingħajr ma jistaqsi lil ħadd; jekk ikun mitfi, irid isib is-sigriet x’imkien ieħor jew ifalli.

Għalhekk elenka kull post minn fejn is-sigriet jista’ jiġi f’dak il-mument, u kun onest dwar liema minnhom jeżistu fuq il-host. Persuna ħdejn terminal, fajl li auth-user-pass jew askpass jistgħu jaqraw, jew token tas-sessjoni maħruġ mis-server huma t-tlieta li jgħoddu hawn. Jekk ħadd minnhom mhu disponibbli, in-negozjazzjoni mill-ġdid tfalli siegħa wara l-bidla u mhux fil-mument li għamiltiha.

Tliet forom, tliet punti ta’ falliment

Klijent tad-desktop b’persuna quddiemu huwa l-każ ħafif: it-talba terġa’ lura, xi ħadd ikteb il-password mill-ġdid, u l-ispiża hija attenzjoni. Servizz, kontejner jew router li jmexxi OpenVPN mingħajr terminal huwa l-każ iebes, għax m’hemm ħadd biex iwieġeb u r-rikonnessjoni li darba kienet siekta issa ttemm il-mina. Ibrid joqgħod bejn it-tnejn u jġib ruħu bħall-każ tad-desktop sakemm tisparixxi s-sessjoni li setgħet twieġeb it-talba. Dak li jifridhom mhuwiex jekk hijiex installata GUI, iżda jekk teżistix sors ta’ kredenzjali fil-ħin tan-negozjazzjoni mill-ġdid.

Ittraċċa l-iskjerament tiegħek fuq waħda minn dawn it-tlieta qabel ma tibdel xejn, għax il-parir li ssib online kważi dejjem jinkiteb għall-ewwel waħda. L-applikazzjoni tat-tweġiba tad-desktop fuq servizz mingħajr terminal hija kif mina li ħadmet xhur tibda taqa’ kull siegħa.

Direttiva jew flag: agħżel waħda u kun af liema użajt

Ġewwa profil, auth-nocache hija linja għaliha; f’sejħa li ssemmi profil b’mod espliċitu, hija flag fuq dik il-linja tal-kmand, u l-manwal ta’ OpenVPN jelenka ż-żewġ forom. It-tnejn jagħmlu l-istess għaż-żamma tal-kredenzjali, u l-ebda waħda ma tmiss it-tip tal-interface jew tissewwi twissija mhux relatata fl-istess log. Id-differenza hija l-persistenza: il-flag tkopri biss dik it-tħaddima, għalhekk servizz li jerġa’ jibda minn unit file jew wrapper script mhux se jkollu jekk il-wrapper ma jgħaddihx ukoll.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Iddeċiedi liema artefatt jippossjedi s-setting, ibdlu hemmhekk u mkien ieħor. Profil editjat fuq laptop flimkien ma’ unit systemd li tgħaddih bil-flag hija l-par li jipproduċi mġiba kontradittorja wara reboot.

Fajl tal-kredenzjali jċaqlaq is-sigriet minflok ma jħassru

L-indirizzar ta’ auth-user-pass lejn fajl jagħti s-sors lil kull negozjazzjoni mill-ġdid li jmiss, u jqiegħed ukoll il-password f’post li jgħaddi minn reboot. Staqsi min jista’ jaqra dak il-fajl, jekk id-daemon għadux jista’ jaqrah wara li jirrinunzja għall-privileġġi, u x’jiġri meta l-filesystem ikun immuntat biss għall-qari jew il-veduta tal-kontejner taħbi l-passaġġ. Sigriet fuq id-diska u sigriet fil-memorja huma problemi differenti, u s-soluzzjoni ta’ wieħed tħalli l-ieħor f’postu. Ir-rotazzjoni hija l-pass li jinqabeż: password mibdula fuq is-server imma mhux fil-fajl tipproduċi falliment li jinqara bħall-ħsara tan-netwerk.

Żomm il-fajl fil-pussess tal-kont li jmexxi d-daemon, li ħadd ieħor ma jista’ jaqrah, u barra mill-backups li jħallu l-host. L-għażla auth-gen-token fuq in-naħa tas-server ta’ OpenVPN tagħti lill-klijent token tas-sessjoni wara login b’suċċess, li hija ħaġa iżgħar li titħalla madwar minn password tal-kont. Ikteb il-pass tar-rotazzjoni ħdejn il-fajl xorta waħda, għax il-fajl normalment jgħix itwal mill-persuna li ħolqitu.

It-tiġdid tan-negozjazzjoni jċaqlaq l-ispiża, ma jneħħihiex

Is-suġġeriment l-ieħor huwa li tgħolli reneg-sec sakemm it-talba tkun rari biżżejjed biex tiġi injorata. Dan jikteb mill-ġdid l-iskeda tar-rotazzjoni taċ-ċwievet tas-sessjoni u jimbotta l-istess problema tal-kredenzjali għal mument aktar tard u inqas prevedibbli; ma joħloqx sors ta’ kredenzjali. Politika li ġġedded iċ-ċwievet skont skeda għal xi raġuni m’għandhiex tiġi rilassata biss biex tiġi evitata l-kitba ta’ password.

Ittestja r-rikonnessjoni u mhux is-sessjoni li qiegħed fiha, għax is-sessjoni ħajja ma tipprovax xejn. Waqqa’ l-mina min-naħa tas-server, jew erġa’ ibda s-servizz tal-klijent, u ara x’jagħmel in-negozjazzjoni mill-ġdid li jmiss meta ħadd ma jkun fuq il-keyboard. Jekk terġa’ tikkonnettja, semmi l-mekkaniżmu li pprovda s-sigriet; jekk le, sibt l-ispiża reali tal-għażla fuq dan il-host. Kwalunkwe riżultat jagħtik tweġiba li żżomm waqt interruzzjoni minflok waħda li żammet waqt l-ittestjar.

Fi flotta ġestita, min għandu l-iskjerament għandu jkun jista’ jsemmi tliet affarijiet: minn fejn jiġu l-kredenzjali, fejn jinżammu, u min iddawwarhom. Jekk xi tweġiba minn dawn hija l-persuna li waqqfet il-host, l-għażla għadha mhix sigura hemmhekk.