O OpenVPN GUI guardou a minha palavra-passe do Windows: onde está

A janela de ligação oferece uma caixa para recordar o início de sessão, e ao marcá-la os dados da conta saem da cabeça do utilizador e passam para a máquina. A interface nunca diz onde. No Windows, os candidatos são a área de registo do utilizador atual, um ficheiro de perfil que já contém o início de sessão e o que faz um script de automatização. Cada local tem um leitor diferente, um modo de falha diferente e uma limpeza diferente, por isso a pergunta útil é que processo pode recuperar o segredo e durante quanto tempo. Siga a caixa desde a janela para fora e depois decida o que um portátil perdido expõe realmente.

Comece pela caixa na janela de ligação

Os valores recordados são guardados por perfil e por conta Windows, na colmeia do utilizador e não num armazém partilhado da máquina. Por isso um segundo utilizador no mesmo computador não vê nenhum início de sessão guardado, e por isso reinstalar o cliente não apaga necessariamente a entrada armazenada.

O próprio ficheiro de perfil guarda o servidor, a porta e as definições, mas nenhum segredo, e é por isso que as pessoas inspecionam primeiro o artefacto errado. Apagar o perfil remove, portanto, a ligação e deixa a credencial para trás. Essa é a surpresa mais comum durante a limpeza. Remova os dois artefactos, não um.

O que revela o valor de registo

O nome da conta está em texto legível, por isso tudo o que corre como esse utilizador consegue descodificá-lo sem qualquer chamada especial. A palavra-passe é diferente: está selada com Windows DPAPI, ligada à conta e, conforme os indicadores, à máquina específica. Mover o bloco selado para outro computador e reproduzi-lo não produz, por isso, um segredo utilizável.

Listar os valores responde à pergunta operacional sem tocar no segredo. Não é preciso decifrar nada para confirmar que existe uma entrada. A listagem serve também de registo antes e depois para a limpeza.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dois limites merecem ser ditos com clareza. Um processo na mesma sessão iniciada pode chamar a mesma rotina de desproteção que o cliente usa, por isso a selagem é proteção em repouso e não contra um ambiente de trabalho comprometido. E sem cifragem total do disco, o valor selado é tão privado como o disco.

Quando o ficheiro de perfil já contém o início de sessão

Alguns portais entregam uma configuração com o nome de conta e a palavra-passe escritos lá dentro, por isso o cliente liga-se em silêncio. Nesse momento o ficheiro é uma credencial que funciona, e cada cópia dele é outra chave para a mesma porta.

Esses ficheiros acabam em cópias de segurança, conversas e pastas sincronizadas, e nenhuma dessas cópias deixa de funcionar quando o original é apagado. Editar o ficheiro local não muda nada nos outros. Revogar o acesso significa mudar a palavra-passe no servidor, e fazê-lo rapidamente. A limpeza num só portátil é uma tarefa separada e mais pequena.

Onde um pedido é aceitável, prefira-o e use os controlos de cache do cliente. Se um perfil preenchido for realmente necessário, mantenha-o fora das pastas sincronizadas e remova-o quando o trabalho terminar.

A automatização desloca o segredo para outro lugar

Os scripts introduzem mais dois canais: argumentos de processo e toques de tecla sintéticos. Um ficheiro nomeado numa linha de comandos é visível para tudo o que possa ler os argumentos do processo ou as permissões do ficheiro, e uma palavra-passe escrita por uma ferramenta vai para a janela que tem o foco. Um exemplo publicado escreve a palavra-passe do ambiente de trabalho dessa forma antes de lançar o cliente. Uma semente de palavra-passe de uso único armazenada merece o mesmo cuidado, porque pode gerar cada código futuro e sobrevive a um único início de sessão.

O padrão melhor guarda o segredo onde só a conta de serviço o pode ler, baseia-se nas opções documentadas do cliente de nova tentativa e origem de credenciais, e evita a escrita injetada nos pedidos de privilégios. Se o script precisa da palavra-passe do ambiente de trabalho para elevar privilégios, isso é uma questão de conceção de privilégios e não de VPN.

Limpeza após perder um dispositivo

Revogue ou desative a conta no servidor antes de tudo o resto, porque a eliminação local não pode invalidar uma cópia que alguém já tem. Depois limpe os valores de registo recordados, remova o perfil e quaisquer ficheiros de credenciais, e procure palavras-passe coladas no histórico da shell e nas pastas de scripts.

Anote o que foi removido e quando o acesso terminou. Esse par responde à única pergunta que uma revisão de incidente faz: se alguma cópia da credencial ainda funcionava depois de o dispositivo ter saído.