OpenVPN GUI heeft mijn Windows-wachtwoord opgeslagen: waar het staat

Het verbindingsvenster biedt een selectievakje om de login te onthouden, en als je het aanvinkt verhuizen de accountgegevens van het hoofd van de gebruiker naar de machine. De interface zegt nooit waar. Op Windows zijn de kandidaten het registergebied van de huidige gebruiker, een profielbestand dat de login al bevat, en wat een automatiseringsscript doet. Elke locatie heeft een andere lezer, een andere faalmodus en een andere opruiming, dus de nuttige vraag is welk proces het geheim kan herstellen en hoe lang. Volg het selectievakje vanuit het venster naar buiten en beslis dan wat een verloren laptop werkelijk blootlegt.

Begin bij het selectievakje in het verbindingsvenster

Onthouden waarden worden per profiel en per Windows-account bewaard in de hive van de gebruiker, niet in een gedeelde machineopslag. Daarom ziet een tweede gebruiker op dezelfde computer geen opgeslagen login, en daarom wist een herinstallatie van de client de opgeslagen vermelding niet per se.

Het profielbestand zelf bewaart de server, poort en instellingen maar geen geheim, en daarom bekijken mensen eerst het verkeerde artefact. Het profiel verwijderen haalt dus de verbinding weg en laat de inloggegevens achter. Dat is de meest voorkomende verrassing bij het opruimen. Verwijder beide artefacten, niet één.

Wat de registerwaarde onthult

De accountnaam staat in leesbare tekst, dus alles wat als die gebruiker draait kan hem zonder speciale aanroep decoderen. Het wachtwoord is anders: het is verzegeld met Windows DPAPI, gebonden aan het account en, afhankelijk van de vlaggen, aan de specifieke machine. Het verzegelde blok naar een andere computer tillen en opnieuw afspelen levert dus geen bruikbaar geheim op.

De waarden opsommen beantwoordt de operationele vraag zonder het geheim zelf aan te raken. Er hoeft niets te worden ontsleuteld om te bevestigen dat een vermelding bestaat. De lijst dient ook als voor-en-na-verslag voor het opruimen.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Twee grenzen verdienen ronduit genoemd te worden. Een proces in dezelfde aangemelde sessie kan dezelfde ontschermingsroutine aanroepen die de client gebruikt, dus verzegeling is bescherming in rust en niet tegen een gecompromitteerd bureaublad. En zonder volledige schijfversleuteling is de verzegelde waarde alleen zo privé als de schijf.

Wanneer het profielbestand de login al bevat

Sommige portals leveren een configuratie met de accountnaam en het wachtwoord erin geschreven, zodat de client stil verbindt. Op dat punt is het bestand een werkende inloggegevens en is elke kopie ervan een extra sleutel voor dezelfde deur.

Zulke bestanden belanden in back-ups, chatthreads en gesynchroniseerde mappen, en geen van die kopieën stopt met werken als het origineel wordt gewist. Het lokale bestand bewerken verandert niets aan de andere. Toegang intrekken betekent het wachtwoord op de server wijzigen, en dat snel doen. Opruimen op één laptop is een aparte, kleinere taak.

Waar een prompt aanvaardbaar is, geef die de voorkeur en gebruik de cache-instellingen van de client. Als een vooraf ingevuld profiel echt nodig is, houd het buiten gesynchroniseerde mappen en verwijder het als het werk klaar is.

Automatisering verplaatst het geheim elders

Scripts voeren twee kanalen in: procesargumenten en synthetische toetsaanslagen. Een bestand dat op een opdrachtregel wordt genoemd is zichtbaar voor alles wat procesargumenten of de bestandsrechten kan lezen, en een wachtwoord dat een hulpmiddel typt gaat naar het venster dat nu focus heeft. Een gepubliceerd voorbeeld typt het bureaubladwachtwoord zo voordat de client start. Een opgeslagen eenmalig wachtwoordzaad verdient dezelfde zorg, want het kan elke toekomstige code genereren en overleeft één login.

Het betere patroon bewaart het geheim waar alleen het serviceaccount het kan lezen, vertrouwt op de gedocumenteerde opties van de client voor opnieuw proberen en inloggegevensbron, en vermijdt ingespoten typen bij privileges. Als het script het bureaubladwachtwoord nodig heeft voor verhoging, is dat een ontwerpvraag over privileges en niet over VPN.

Opruimen na een verloren apparaat

Trek het account op de server in of schakel het uit vóór al het andere, want lokaal wissen kan een kopie die iemand al heeft niet ongeldig maken. Wis daarna de onthouden registerwaarden, verwijder het profiel en eventuele inloggegevensbestanden, en zoek shell-geschiedenis en scriptmappen af naar geplakte wachtwoorden.

Schrijf op wat is verwijderd en wanneer de toegang eindigde. Dat paar beantwoordt de enige vraag die een incidentbeoordeling stelt: of een kopie van de inloggegevens nog werkte nadat het apparaat weg was.