Is-servizz OpenVPN jieqaf meta jitlob il-password tal-muftieħ privat: kif tissewwa
Servizz m’għandux terminal, għalhekk muftieħ encrypted jeħtieġ askpass u fajl li jinqara. Issepara l-passphrase tal-muftieħ mill-login tas-server u ċċekkja l-unit.
OpenVPN jitlob il-passphrase tal-muftieħ privat fuq il-magna lokali, għalhekk fajl tal-login li jaħdem qatt ma jwieġeb għaliha. F’servizz m’hemmx terminal biex tittajpja fih, u l-bidu jew jiddendel jew ifalli b’entrata fil-journal li ssemmi l-input minflok il-kawża. Hawn żewġ sigrieti, u kull wieħed jeħtieġ is-sors tiegħu li jinqara qabel ma l-unit terġa’ tibda. Il-passi hawn taħt jifirduhom, imbagħad jiċċekkjaw l-identità li fil-fatt tiftaħ kull fajl.
Agħraf it-tnejn talbiet
Il-passphrase tal-muftieħ tiddeċifra l-muftieħ privat lokali; il-kredenzjali tal-kont jawtentikaw is-sessjoni mas-server. Jiġu minn postijiet differenti, ifallu f’mumenti differenti u jagħtu messaġġi differenti. Li tħallathom iwassal lin-nies ifittxu reset tal-password meta l-kont ma kien involut xejn. Aqra t-test tat-talba qabel ma tibdel xi għażla, għax il-kliem huwa l-unika indikazzjoni affidabbli dwar liema sigriet hija nieqsa.
F’Community OpenVPN 2.x, askpass isemmi fajl li jżomm il-passphrase tal-muftieħ fl-ewwel linja, u auth-user-pass isemmi fajl bin-nom tal-utent f’linja u l-password f’dik li jmiss. Ebda fajl ma jista’ jissodisfa l-għażla l-oħra. App tad-desktop jew profil ta’ NetworkManager jistgħu jżommu t-tnejn fil-maħżen tas-sigrieti tagħhom, li klijent tal-linja tal-kmand qatt ma jaqra, għalhekk innota liema klijent qed tikkonfigura qabel ma tikteb xi passaġġ.
Ipponta ż-żewġ għażliet lejn fajls li jinqraw
Profil li jeħtieġ iż-żewġ inputs jispiċċa b’tliet referenzi tal-fajl: il-muftieħ encrypted, il-passphrase li tiftaħu u l-par tal-login. Żidhom mingħajr ma tmiss is-CA jew il-verifiki tal-identità, għax dawk jiddeċiedu min hu s-server u mhumiex parti minn din il-problema. Jekk id-deployment ma jużax kredenzjali tal-kont xejn, iż-żieda ta’ auth-user-pass toħloq input li ħadd ma jista’ jipprovdi.
key /etc/openvpn/client/office.key
askpass /etc/openvpn/client/office-key.pass
auth-user-pass /etc/openvpn/client/office-login.authGħażliet mingħajr argument iġibu ruħhom b’mod differenti minn għażliet b’passaġġ, u f’servizz id-differenza hija importanti. askpass mingħajr argument għadu jaqra l-console, u fajl auth-user-pass b’isem tal-utent biss għadu jħalli talba tal-password tistenna. Ladarba l-klijent isir daemon ma jistax jitlob input minn terminal xejn, għalhekk servizz konfigurat hekk ma jitlax.
Passaġġi assoluti jneħħu l-mistoqsija tad-direttorju tax-xogħol imma ma jagħtux aċċess. Sid, mod u transitu jiġu wara, u t-tlieta jiġu ċċekkjati mal-kont li taħtu jaħdem il-proċess.
Aqra l-konfigurazzjoni tal-unit qabel il-profil
L-unit, mhux il-fajl li kont qed teditja, jiddeċiedi liema konfigurazzjoni tgħabbi l-istanza. Aqra l-linja tal-kmand tiegħu u kull drop-in, imbagħad segwi d-direttorju tax-xogħol sal-profil li fil-fatt jintuża. Referenza tal-passphrase miżjuda ma’ fajl .ovpn ieħor ma tibdel xejn għal din l-istanza.
Tliet kmandi biss-qari jwieġbu għall-biċċa l-kbira. L-ewwel jipprintja l-unit u kull drop-in, it-tieni l-identità u s-settings tas-sandbox li jorbtu l-proċess, u t-tielet dak li l-aħħar bidu fil-fatt ilmenta dwaru. Uża l-isem tal-istanza li jeżisti fuq il-host:
systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p WorkingDirectory -p ProtectHome
journalctl -u [email protected] -bAgħti każ lil ProtectHome u lill-għażliet tal-profil stess user, group u chroot. Fajl taħt direttorju tad-dar jista’ jinqara fis-shell tiegħek u ma jidhirx ġewwa s-servizz meta d-direttorji tad-dar jinħbew. Il-kont li bih systemd jibda mhuwiex dejjem il-kont li fl-aħħar jiftaħ il-muftieħ.
Ipprova li l-identità tal-ħin tal-eżekuzzjoni tista’ tiftaħ iż-żewġ fajls
Il-qari tal-mod mhuwiex biżżejjed, għax kull direttorju fil-passaġġ irid ikun jista’ jinqasam mill-istess identità. Għaddi l-passaġġ komponent b’komponent, imbagħad ipprova l-ftuħ bħala l-kont li juża l-proċess. Fajl bil-mod 600 proprjetà ta’ root jaħdem biss sakemm il-proċess għadu root, li mhuwiex veru wara t-tnaqqis tal-privileġġi li jagħmlu ħafna profili. Żewġ kmandi jkopru t-transitu u l-ftuħ:
namei -l /etc/openvpn/client/office-key.pass
sudo -u openvpn test -r /etc/openvpn/client/office-key.pass && echo readableL-ewwel kmand jipprintja l-mod ta’ kull komponent u jfalli fejn il-kont ma jistax jgħaddi; it-tieni jwieġeb l-unika mistoqsija importanti, jiġifieri jekk l-identità tal-ħin tal-eżekuzzjoni tistax tiftaħ il-fajl biex jaqra. Ebda wieħed ma jipprintja l-kontenut tal-fajl, u dan huwa l-punt meta l-fajl iżomm passphrase. Errepeti t-test għall-fajl tal-login, għax it-tnejn spiss jinħażnu b’sid differenti.
Jekk il-proċess juża chroot jew namespace ristrett, ħaddem l-istess test minn ġewwa dak il-ħsieb, inkella t-tweġiba tiddeskrivi l-filesystem ħażin. Passphrase maħżuna taħt direttorju tad-dar moħbi hija l-eżempju tas-soltu ta’ test li jgħaddi barra mill-unit u jfalli ġewwa fih.
Iċċekkja l-ewwel bidu, imbagħad rikonnessjoni
Ibda l-istanza darba u aqra l-ewwel falliment mhux l-aħħar. Fajl tal-input nieqes, deċifrar tal-muftieħ fallut u AUTH_FAILED mis-server huma tliet avvenimenti differenti bi tliet tiswijiet differenti. Li ssewwi twissija tal-permessi ma jipprovax xejn dwar jekk il-muftieħ infetaħx.
Il-linja tal-journal tgħid liema mit-tlieta għandek. It-tiswija tiġi minn liema input falla:
| What the journal shows | Which input failed | Where to look |
|---|---|---|
| A path that cannot be opened | The file the profile names | Askpass or login path, and the unit's working directory |
| A key decryption error | The key passphrase | First line of the askpass file, and read access for the runtime identity |
AUTH_FAILED from the server | The account credentials | Login file contents, and whether the account is still valid |
Imbagħad ipprova iċ-ċiklu tal-ħajja li fil-fatt għandek bżonn: bidu waqt il-boot u kull rikonnessjoni appoġġjata, mhux biss bidu manwali mis-shell tiegħek. B’auth-nocache l-inputs jintremew wara l-ewwel użu, għalhekk rikonnessjoni aktar tard xorta teħtieġ sors li jinqara. Ċurkett tal-muftiħ li jinfetaħ mal-login tad-desktop mhuwiex disponibbli għal servizz li beda qabel ma daħal ħadd, u dan huwa r-raġuni tas-soltu għaliex test manwali jgħaddi u reboot ifalli. Jekk l-ewwel bidu jirnexxi u rikonnessjoni aktar tard ifalli, aqra l-journal għall-avveniment tar-rikonnessjoni qabel ma tbiddel il-permessi mill-ġdid.
Li żżomm il-passphrase ħdejn il-muftieħ inaqqas dak li tagħtik l-encryption, għalhekk illimita dak il-fajl u l-backups tiegħu. Ittratta t-tneħħija tal-passphrase tal-muftieħ bħala deċiżjoni tal-kredenzjali separata, mhux bħala t-tiswija għal input nieqes. Deployment li jiddependi mill-approvazzjoni umana jew MFA interattiva jeħtieġ l-agent jew l-integrazzjoni tal-ġestjoni appoġġjata tiegħu; kodiċi ta’ darba maħżun b’mod permanenti mhuwiex sostitut ekwivalenti.