OpenVPN GUI lagret Windows-passordet mitt: hvor det ligger

Tilkoblingsdialogen tilbyr en avkrysningsboks for å huske påloggingen, og når den krysses av, flyttes kontoopplysningene fra brukerens hode og inn i maskinen. Grensesnittet sier aldri hvor. På Windows er kandidatene det gjeldende brukerens registerområde, en profilfil som allerede inneholder påloggingen, og det et automatiseringsskript gjør. Hvert sted har en annen leser, en annen feilmodus og en annen opprydding, så det nyttige spørsmålet er hvilken prosess som kan gjenopprette hemmeligheten, og hvor lenge. Følg avkrysningsboksen ut fra dialogen, og avgjør deretter hva en tapt bærbar PC faktisk avdekker.

Start med avkrysningsboksen i tilkoblingsdialogen

Huskede verdier oppbevares per profil og per Windows-konto, i brukerens hive og ikke i et delt maskinlager. Derfor ser en annen bruker på samme datamaskin ingen lagret pålogging, og derfor sletter ikke en reinstallasjon av klienten nødvendigvis den lagrede oppføringen.

Selve profilfilen lagrer server, port og innstillinger, men ingen hemmelighet, og derfor undersøker folk først den gale artefakten. Sletting av profilen fjerner dermed tilkoblingen og lar påloggingsinformasjonen ligge igjen. Det er den vanligste overraskelsen under opprydding. Fjern begge artefaktene, ikke én.

Hva registerverdien avslører

Kontonavnet står i lesbar tekst, så alt som kjører som den brukeren kan dekode det uten noe spesielt kall. Passordet er annerledes: det er forseglet med Windows DPAPI, bundet til kontoen og, avhengig av flaggene, til den bestemte maskinen. Å flytte den forseglede blokken til en annen datamaskin og spille den av igjen gir derfor ingen brukbar hemmelighet.

Å liste ut verdiene svarer på drifts-spørsmålet uten å røre hemmeligheten selv. Ingenting må dekrypteres for å bekrefte at en oppføring finnes. Listen fungerer også som før-og-etter-opptegnelse for oppryddingen.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

To grenser fortjener å bli sagt rett ut. En prosess i samme påloggede økt kan kalle samme avbeskyttelsesrutine som klienten bruker, så forseglingen er beskyttelse i ro og ikke mot et kompromittert skrivebord. Og uten full diskkryptering er den forseglede verdien bare så privat som disken.

Når profilfilen allerede inneholder påloggingen

Noen portaler deler ut en konfigurasjon med kontonavn og passord skrevet inn, så klienten kobler til i stillhet. På det tidspunktet er filen en fungerende påloggingsinformasjon, og hver kopi av den er en ny nøkkel til samme dør.

Slike filer havner i sikkerhetskopier, chat-tråder og synkroniserte mapper, og ingen av disse kopiene slutter å virke når originalen slettes. Å redigere den lokale filen endrer ingenting på de andre. Å tilbakekalle tilgang betyr å endre passordet på serveren, og det må gjøres raskt. Opprydding på én bærbar PC er en egen, mindre oppgave.

Der en forespørsel er akseptabel, foretrekk den og bruk klientens hurtiglagre-kontroller. Hvis en forhåndsutfylt profil virkelig er nødvendig, hold den utenfor synkroniserte mapper og fjern den når arbeidet er over.

Automatisering flytter hemmeligheten et annet sted

Skript introduserer to kanaler til: prosessargumenter og syntetiske tastetrykk. En fil som er navngitt på en kommandolinje er synlig for alt som kan lese prosessargumentene eller filens tillatelser, og et passord som skrives av et verktøy går til vinduet som har fokus. Ett publisert eksempel skriver skrivebordets passord på den måten før klienten startes. Et lagret engangspassord-frø fortjener samme omhu, fordi det kan generere hver fremtidige kode og overlever én enkelt pålogging.

Det bedre mønsteret lagrer hemmeligheten der bare tjenestekontoen kan lese den, stoler på klientens dokumenterte alternativer for nytt forsøk og påloggingskilde, og unngår injisert skriving ved privilegie-forespørsler. Hvis skriptet trenger skrivebordets passord for forhøyelse, er det et spørsmål om privilegiedesign og ikke om VPN.

Opprydding etter en mistet enhet

Tilbakekall eller deaktiver kontoen på serveren før alt annet, fordi lokal sletting ikke kan ugyldiggjøre en kopi noen allerede har. Tøm deretter de huskede registerverdiene, fjern profilen og eventuelle påloggingsfiler, og søk gjennom shell-historikk og skriptkataloger etter innlimte passord.

Skriv ned hva som ble fjernet og når tilgangen opphørte. Det paret svarer på det eneste spørsmålet en hendelsesgjennomgang stiller: om noen kopi av påloggingsinformasjonen fortsatt virket etter at enheten forsvant.