Fejn għandu Linux jaħżen il-password VPN tiegħek? Mhux fil-profil
Il-flags tas-sigrieti ta’ NetworkManager jiddeċiedu jekk il-password huwiex miżmum mill-profil, minn aġent taċ-ċavetta jew minn ħadd. It-tweġiba tiddependi minn meta tinbeda l-konnessjoni.
Il-password VPN trid tgħix xi mkien: fil-profil tal-konnessjoni, fiċ-ċavetta li tiftaħ id-desktop, jew imkien. NetworkManager jsejjaħ dik l-għażla flag tas-sigriet, u l-għażla ħażina hija r-raġuni għaliex konnessjoni taħdem wara l-login u tfalli bħala servizz. Il-flag hija linja waħda ta’ konfigurazzjoni, u tiddeċiedi liema minn dawk it-tliet riżultati tikseb.
Tliet flags ikopru kważi kull każ, u d-deċiżjoni hija dwar meta tinbeda l-konnessjoni.
Tliet flags tas-sigriet, tliet imġiba
Flag ta’ 0 ifisser li s-sigriet jinħażen mal-konnessjoni, fi kwalunkwe maħżen li jżomm il-profil. Flag ta’ 1 jagħmilha proprjetà tal-aġent: is-sigriet jiġi minn aġent tas-sigrieti bħal ċavetta tad-desktop, u NetworkManager jitolbu fl-attivazzjoni. Flag ta’ 2 ifisser mhux maħżun, allura s-sigriet qatt ma jinkiteb u jrid jiġi pprovdut kull darba. Il-flag 4 jimmarka sigriet bħala mhux meħtieġ, għal konnessjonijiet li tassew ma jeħtiġux wieħed.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Issettja l-flags għal kull sigriet minflok għal kull konnessjoni. Konnessjoni waħda jista’ jkollha password proprjetà tal-aġent u passphrase tal-muftieħ privat maħżuna.
Iddeċiedi skont meta tinbeda l-konnessjoni
Jekk utent illoggjat jibda l-konnessjoni, il-proprjetà tal-aġent hija l-valur prestabbilit sensibbli: iċ-ċavetta tinfetaħ bil-login u s-sigriet qatt ma joqgħod f’fajl. Jekk il-konnessjoni trid titla’ qabel ma jidħol xi ħadd, il-proprjetà tal-aġent hija l-għażla ħażina, għaliex m’hemmx ċavetta tas-sessjoni x’tinfetaħ.
Dik hija d-deċiżjoni kollha. Kull ħaġa oħra hija varjant tagħha.
Għal servizz qabel il-login, il-mudell appoġġjat huwa maħżen fil-livell tas-sistema jew fajl tal-muftieħ protett, u l-permessi tal-fajl isiru l-protezzjoni. Issolvix il-problema billi tippejstja l-password fi skript shell li jaħdem mal-boot.
X’tagħti ċ-ċavetta u x’ma tagħtix
Iċ-ċavetta żżomm is-sigriet barra mill-profil tal-konnessjoni u torboth ma’ sessjoni tal-utent. Ma tagħmilx is-sigriet disponibbli għal servizz mingħajr sessjoni, u ma tikkriptax xejn fuq il-wire. Dawn huma proprjetajiet separati li n-nies spiss jgħaqqdu. Dak li tassew tixtri huwa raġġ ta’ ħsara iżgħar meta fajl tal-profil jitqatta’.
Il-muftieħ privat li għalih jirreferi l-profil jeħtieġ il-permessi tiegħu stess, irrispettivament minn fejn tgħix il-password.
Dijanjostika mingħajr ma tferra’ sigrieti
L-ismijiet tal-konnessjonijiet, l-UUIDs u l-flags normalment biżżejjed biex jispjegaw falliment. nmcli connection show jelenka l-profil, u l-flags tas-sigriet jgħidulek minn fejn kellha tiġi l-password.
Evita --show-secrets fit-tickets u fiċ-chat. Ladarba tpejstjata, hija kredenzjali fi traskrizzjoni.
Il-ħażna mhix revoka
It-tneħħija ta’ sigriet minn ċavetta waħda ma tinvalidax il-kredenzjali li l-operatur remot diġà aċċetta. Ir-revoka tal-kont hija azzjoni fin-naħa tas-server, u l-ħażna lokali hija kwistjoni separata b’sid separat.
Iddeċiedi t-tnejn qabel l-inċident, mhux waqt. Konnessjoni interattiva tal-utent u servizz qabel il-login jeħtieġu tweġibiet differenti, u skript shell maqsum mhuwiex l-ebda waħda. Id-dokumentazzjoni ta’ NetworkManager dwar il-flags tas-sigriet telenka l-valuri kif xieraq.