Stopp NetworkManager frå å vise eit lagra VPN-passord

NetworkManager kan halde eit VPN-passord slik at tilkopinga kjem opp utan at nokon skriv det, og det kan vise verdien igjen gjennom editoren eller gjennom nmcli --show-secrets. Det finst tre eigarskapsmodellar, og visingsåtferda er berre eit symptom på kva du valde. Vel modellen fyrst og set deretter flagget som passar til han, i staden for å skjule eit felt med ein plasshaldar som vil forvirre neste person.

Tre eigarskapsmodellar

Den fyrste modellen spør kvar gong. Ingenting blir lagra, løyndomen finst berre medan aktiveringa varer, og alle som startar tilkopinga må kunne passordet. Det er det minst komfortable alternativet og det enklaste å forsvare.

Den andre gjev løyndomen til ein nøkkelring som brukaren eig. Agenten låser opp når økta startar og leverer verdien på førespurnad, noko som held han utanfor tilkoplingsfila men bind tilkopinga til økta til den brukaren. To vilkår følgjer: agenten må køyre, og han må vere låst opp.

Den tredje lagrar ei verna legitimasjon for ei systemtilkoping. Ho overlever omstartar og verkar før nokon loggar inn, og til gjengjeld ligg verdien på disken verna av filrettar i staden for kryptering.

Kvar modell er rimeleg i rett samanheng. Feilen er å blande dei, og slik endar ein berbar maskin med ein løyndom på to stader og utan eit klart svar på kva som er autoritativ. Skriv ned kva modell ein profil brukar. Éi linje i runboka til teamet sparer neste person for å finne opp ein fjerde stad å sjå.

Les gjeldande tilstand før du endrar han

Sjå på profilen og på tilstanden til løyndomen som brukaren som administrerer tilkopinga. Den andre kommandoen er den som fortel deg om verdien faktisk kan lesast.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Ei nøkkelfil i den katalogen blir vanlegvis eigd av root med modus 600. Det held vanlege brukarar ute og held ikkje root ute, noko som tel når maskina blir delt eller når ein tryggleikskopi køyrer som root.

Filrettar er ei grense, ikkje kryptering. Alle som kan lese fila som root, har passordet i klartekst. Det er eit akseptabelt byte for ein server utan tilsyn og eit dårleg for ein delt arbeidsstasjon. Å skrive det ned éin gong hindrar ein lang diskusjon om verdien er verna.

Kva kvar flaggverdi gjer

VPN-løyndomen har ein eigenskap flags, og verdiane er ikkje intuitive ut frå tala åleine.

Den faktiske åtferda avheng òg av programtillegget og av om ein agent køyrer, så handsam tabellen som kontrakten og den observerte åtferda som det du stadfester. Ein verdi som verkar på ein stasjonær maskin kan oppføre seg annleis på ein server utan økt. Det er i dette gapet dei fleste forvirrande sakene bur.

Set eigenskapen eksplisitt i staden for å slette ei linje og håpe. Eit manglande flagg er ikkje ein policy, og neste pakkeoppdatering kan fylle det med noko du ikkje hadde tenkt.

Tilpass modellen til når tilkopinga startar

Viss tilkopinga berre startar medan ein brukar er logga inn, passar agent-eige godt og held løyndomen utanfor fila. Viss ho startar ved oppstart, før noka økt finst, kan ein agent ikkje hjelpe deg.

Det er heile avgjerda for dei fleste maskiner. Det forklarer òg ein klasse forvirrande rapportar der tilkopinga verkar interaktivt og feilar etter omstart. Flagget endra seg aldri; samanhengen gjorde det.

For det uovervaka tilfellet er ei avgrensa root-eigd fil eller ein godkjend legitimasjonskjelde det praktiske svaret. Hald ho utanfor tilkoplingsprofilen viss profilen nokon gong blir eksportert eller kopiert til ei anna maskin.

Viss verdien allereie var synleg, byt han

Å endre eit flagg lèt sjølve passordet vere urørt. Ein verdi som dukka opp i eit skjermbilete, i shell-historia, i ein pakke send til støtte eller i ei fil andre brukarar kunne opne, bør reknast som avslørt.

Byt han på serveren, reparer deretter klienten og avslutt kvar økt som autentiserte med den gamle. Sletting av den lokale tilkopinga kallar ikkje tilbake noko på den andre sida, og det er den delen folk overser.

Deretter slutt å setje passordet på kommandolinja. Det hamnar i shell-historia og kan dukke opp i ei prosessliste; bruk den interaktive ledeteksta eller agenten i staden.

Stadfest ved å kople til på nytt

Gjenta kommandoen som viste løyndomen og stadfest at feltet ikkje lenger blir skrive ut. Kople deretter frå og til igjen, og start på nytt viss tilkopinga startar automatisk, fordi den interessante feilen først viser seg når samanhengen i økta endrar seg.

Viss løyndomen framleis blir vist, er det ein annan profil eller ein annan agent som leverer han. Undersøk den aktive tilkopinga og nøkkelringen i staden for å slette filer til symptomet flyttar seg.