auth-nocache so súborom prihlasovacích údajov: pomáha alebo škodí?

OpenVPN pri spustení vypisuje varovanie, ktoré odporúča auth-nocache, a lákavá reakcia je voľbu pridať a pozerať, ako riadok mizne. Táto rada predpokladá interaktívne prihlásenie. Hneď ako používateľské meno a heslo žijú v súbore, porovnanie sa mení: voľba prestáva chrániť trvalú kópiu a na klientovi, ktorý sa vzdáva oprávnení, môže neskôr rozbiť opätovné vyjednávanie. Dva modely ukladania stojí za to držať oddelene, kým upravíte profil.

Dva spôsoby, ako odpovedať na výzvu k údajom

Prvý model je človek, ktorý píše údaje do terminálu, alebo správne rozhranie, ktoré ich drží pre reláciu. OpenVPN si túto kópiu uchováva, aby mohlo odpovedať na ďalšie opätovné vyjednávanie bez nového dotazu, a varovanie je presne o tom. Na disku nie je nič zapojené, takže jediné, čo treba chrániť, je proces, ktorý hodnotu drží. Zatvorte klienta a kópia zmizne s ním.

Druhý model je auth-user-pass ukazujúci na súbor, kde je súbor úložiskom a klient ho číta, keď je hodnota potrebná. Expozícia, na ktorej tu záleží, nie je pamäť procesu, ale oprávnenia a vlastníctvo toho súboru. Varovanie pri spustení pochádza z direktív v konfigurácii, nie z kontroly toho, ako heslo dodávate, takže sa objavuje v oboch modeloch a neukazuje na žiadny.

Zvyšok tohto porovnania plynie z tohto rozdelenia: správa pamäte pre jeden model, správa súboru a identita procesu pre druhý.

Čo auth-nocache skutočne zahadzuje

Pri interaktívnom prihlásení --auth-nocache odstráni uloženú kópiu z pamäte po tom, čo bola použitá. Cena je nový dotaz pri každom intervale opätovného vyjednávania, pretože ďalšie kolo nemôže znova použiť to, čo bolo zahodené.

Pri prihlásení zo súboru môže klient súbor prečítať znova, takže zahodenie je väčšinou neviditeľné. Viditeľným sa stane na jedinom mieste, kde to ľudia nečakajú: po tom, čo démon odloží oprávnenia, ak súbor s údajmi nie je čitateľný pre účet, pod ktorým teraz beží.

Voľbu pridajte, pretože tomuto obchodu rozumiete, nie pretože sa objavilo varovanie. Voľba pridaná, aby bol log tichší, je voľba, ktorej účinok nikto nemeral.

Kde sa cesta so súborom láme

Klient, ktorý štartuje ako root, aby otvoril tunelové zariadenie, a potom prejde na user a group , číta súbor s údajmi dvakrát: raz pred prechodom, raz pri opätovnom vyjednávaní, ktoré nasleduje. Ak má súbor režim 600 a vlastní ho root, druhé čítanie zlyhá a zlyhanie sa o hodinu objaví ako chyba overenia, ktorá vyzerá ako problém servera. Skontrolujte log klienta okolo intervalu opätovného vyjednávania, potom skontrolujte účet a súbor spoločne.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Oba riadky sú dôležité. Prvý hovorí, kto môže súbor čítať, druhý hovorí, kto je bežiaci démon v skutočnosti, a nesúlad medzi nimi vysvetľuje zlyhanie, ktoré žiadne prepisovanie hesla nespraví.

Praktické opravy nie sú efektné: presuňte súbor do adresára a k vlastníkovi, ktorý účet démona môže čítať, alebo zachovajte privilegované čítanie a potvrďte, že váš klient číta len raz. Neriešte to tým, že súbor sprístupníte všetkým.

Prípad, ktorý voľbu naozaj chce

Prihlásenie s jednorazovým kódom chce auth-nocache z iného dôvodu. Jednorazový kód sa spotrebuje prvým overením, takže uložená kópia je pri ďalšom opätovnom vyjednávaní nanič a zastaraná hodnota by sa dokonca mohla prehrať.

To je otázka typu údajov, nie toho, kde sú uložené. Statické heslo v chránenom súbore má opačný profil: musí byť čitateľné pri každom opätovnom vyjednávaní a ochrana, ktorú potrebujete, je na súbore.

Držte tie dva dôvody oddelene v komentároch profilu, inak ďalší správca bude predpokladať, že voľba je tam z dôvodu, ktorý by si vybral on.

Porovnanie v jednom rozhodnutí

Zvoľte interaktívny model, keď je prítomný človek a záleží na čerstvosti, a prijmite opakovaný dotaz ako jeho cenu. Zvoľte model súboru, keď klient beží bez dohľadu, a venujte úsilie vlastníctvu, režimu a odloženiu oprávnení.

Ani jeden model sám o sebe nerobí uložené heslo bezpečným a ani jeden nerobí varovanie pri spustení zmysluplným.

Ak je varovanie jediným dôvodom, prečo ste profil otvorili, zapíšte rozhodnutie namiesto nevysvetlenej voľby: údaje pochádzajú zo súboru čitateľného pre účet démona, opätovné vyjednávanie bolo videné ako úspešné a časť o opätovnom vyjednávaní v manuáli OpenVPN 2.6 bola prečítaná pred zmenou jeho intervalu. Tá poznámka prežije každý jednotlivý prepínač.