Erġa' qabbad VPN ta' Windows mingħajr ma tpoġġi l-password fil-kompitu

Kull riċetta ta' qbil mill-ġdid bla sorveljanza fl-aħħar tasal għall-istess mistoqsija: fejn tgħix il-password. It-tweġiba popolari hija l-azzjoni tal-kompitu nnifisha, li hija wkoll l-agħar post għaliha. Jeżistu żewġ disinji oħra. Liema waħda taqbel tiddependi minn jekk il-magna tistax tawtentika mingħajr persuna u jekk is-server jaċċettax ċertifikati.

X'jħalli jinqara azzjoni tal-kompitu

L-argumenti fi kompitu skedat huma parti mid-definizzjoni tiegħu, mhux valur moħbi tal-ħin tal-eżekuzzjoni. Kull min jista' jaqra l-kompitu, jirrestawra tiegħu backup jew jesporta l-XML tiegħu jara l-string eżattament kif ittajpjajtha. Waqt l-eżekuzzjoni l-istess string tidher fil-lista tal-proċessi. Aġent ta' monitoraġġ jista' jikkopjaha f'log li qatt ma tirrevedi.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Iċċekkja qabel ma tassumi l-kuntrarju. L-ewwel kmand jistampa d-definizzjoni sħiħa, inkluża l-azzjoni u l-argumenti tagħha. It-tieni juri liema kredenzjali l-kont attwali ħażen fil-cache, li huwa importanti għad-disinji alternattivi hawn taħt. Jekk il-password tidher fl-XML tal-kompitu, l-ibrillar tagħha huwa biss nofs it-tiswija, għax il-kompitu għadu jżomm il-valur il-qadim.

X'tagħti verament ċavetta qabel maqsuma maħżuna

Add-VpnConnection -L2tpPsk tikteb iċ-ċavetta fl-entrata tal-ktieb tat-telefon tal-konnessjoni minflok fi kompitu. Dik hija wiċċ ta' espożizzjoni iżgħar minn azzjoni ta' kompitu. Xorta hija sigriet li jista' jiġi rkuprat, għax amministratur fuq il-magna jista' jaqra l-ktieb tat-telefon.

Għal rabta tal-laboratorju bejn żewġ magni li tikkontrolla, dak l-iskambju jista' jkun aċċettabbli. Għal kredenzjali tal-utent fuq punt tat-tarf maqsum, mhuwiex. Is-sejħa tiegħu ħażna kriptata ma tibdilx min jista' jaqrah. Il-ktieb tat-telefon huwa fajl tal-konfigurazzjoni. Ippjana għall-persuna li tista' tiftaħu, mhux biss għall-persuna li tista' tidħol bħala l-utent.

Il-kredenzjali Winlogon ineħħu s-sigriet u jżidu dipendenza

-UseWinlogonCredential jieħu triq oħra. Il-konnessjoni tawtentika b' MSCHAPv2 kontra l-kredenzjali tal-utent illoggjat. Xejn żejjed ma jinħażen għal dak il-kont.

Id-dipendenza li żżid hija sinifikanti. Għandu jkun hemm login interattiv li minnu jista' jissellef, li jeskludi kont tas-servizz u kompitu qabel il-login. Il-konnessjoni wkoll tiret kull ma jistgħu jilħqu l-kredenzjali ta' dak l-utent fuq is-server. Aqra l-iswiċċ bħala dikjarazzjoni dwar minn fejn ġejja l-kredenzjali, mhux bħala konfigurazzjoni tas-sigurtà. Jibdel is-sors, u xejn dwar kif is-server jawtorizza s-sessjoni wara.

L-awtentikazzjoni b'ċertifikati tiskala għax xejn ma jinħażen

Fejn is-server jappoġġja EAP-TLS, ċertifikat tal-magna jneħħi s-sigriet maqsum għal kollox, u r-revoka sseħħ fil-livell taċ-ċertifikat. Kompitu li jaħdem bħala SYSTEM jista' jippreżenta dak iċ-ċertifikat mingħajr login interattiv. Ikkonferma li s-server jaċċetta l-awtentikazzjoni b'ċertifikati qabel ma tibni fuqha. Disinn li jiddependi minn metodu mhux appoġġjat huwa pjan, mhux soluzzjoni. Imbagħad iddeċiedi fejn tgħix iċ-ċavetta privata: il-maħżen tal-magna għall-identità tal-apparat, il-maħżen tal-utent għal persuna.

Fejn isem l-utent u l-password ma jistgħux jiġu evitati, aħżinhom fil-Credential Manager limitati għall-kont tal-kompitu nnifsu. Ħalli l-klijent jaqrahom minn hemm minflok minn argument. Sigriet li l-kompitu jista' jikseb mingħajr ma jistampah huwa problema iżgħar minn waħda miktuba fid-definizzjoni tiegħu.

Irrevedi l-artefatti qabel ir-rotazzjoni li jmiss

Ħares lejn dak li jinħażen u mhux lejn dak li kellek f'moħħok. Iċċekkja l-ktieb tat-telefon għal kull utent, il-kopja għall-utenti kollha, l-XML tal-kompitu u kwalunkwe script li jsejjaħ il-kmand tad-dial. Imbagħad ikkonferma li ċ-ċertifikat jew il-kredenzjali fil-cache huma limitati għall-kont li juża l-kompitu, għax kredenzjali maħżuna għall-kont interattiv tiegħek hija inviżibbli għal SYSTEM.

Irreġistra l-metodu tal-awtentikazzjoni u l-kont fin-noti tal-kompitu nnifsu. Il-persuna li jmiss li tibdel il-politika tas-server trid tkun taf liema disinn qed jintuża. Dik it-tweġiba mhijiex viżibbli mill-imġiba tal-qbil mill-ġdid biss. Iktibha fejn ir-rotazzjoni li jmiss se tħares l-ewwel.