auth-nocache s datoteko poverilnic: pomaga ali škodi?

OpenVPN ob zagonu izpiše opozorilo, ki predlaga auth-nocache, in vabljiv odziv je dodati možnost in gledati, kako vrstica izgine. Ta nasvet predpostavlja interaktivno prijavo. Ko uporabniško ime in geslo živita v datoteki, se primerjava spremeni: možnost preneha ščititi trajno kopijo, na odjemalcu, ki se odreče privilegijem, pa lahko pozneje zlomi ponovno pogajanje. Dva modela shranjevanja velja držati ločeno, preden uredite profil.

Dva načina odgovora na zahtevo po poverilnicah

Prvi model je človek, ki vnaša poverilnice v terminal, ali upravni vmesnik, ki jih hrani za sejo. OpenVPN hrani to kopijo, da lahko odgovori na naslednje ponovno pogajanje brez ponovnega vprašanja, in opozorilo govori prav o tem. Na disku ni ničesar vključenega, zato je edino, kar je treba zaščititi, proces, ki drži vrednost. Zaprite odjemalca in kopija izgine z njim.

Drugi model je auth-user-pass , ki kaže na datoteko, kjer je datoteka shramba in jo odjemalec prebere, ko je vrednost potrebna. Izpostavljenost, ki je tu pomembna, ni pomnilnik procesa, ampak dovoljenja in lastništvo te datoteke. Opozorilo ob zagonu izhaja iz direktiv v konfiguraciji, ne iz pregleda, kako zagotavljate geslo, zato se pojavi v obeh modelih in ne kaže na nobenega.

Preostanek te primerjave izhaja iz te delitve: upravljanje pomnilnika za en model, upravljanje datoteke in identiteta procesa za drugega.

Kaj auth-nocache v resnici zavrže

Pri interaktivni prijavi --auth-nocache odstrani shranjeno kopijo iz pomnilnika, potem ko je bila uporabljena. Cena je nova zahteva ob vsakem intervalu ponovnega pogajanja, ker naslednji krog ne more znova uporabiti tega, kar je bilo zavrženega.

Pri prijavi iz datoteke lahko odjemalec datoteko prebere znova, zato je zavrženje večinoma nevidno. Postane vidno na enem samem mestu, kjer ljudje tega ne pričakujejo: potem ko se demon odreče privilegijem, če datoteka s poverilnicami ni berljiva za račun, pod katerim zdaj teče.

Možnost dodajte, ker razumete to menjavo, ne ker se je pojavilo opozorilo. Možnost, dodana zato, da bi bil dnevnik tišji, je možnost, katere učinka ni nihče izmeril.

Kje se pot iz datoteke zlomi

Odjemalec, ki se zažene kot root, da odpre tunelsko napravo, in nato preklopi na user in group , prebere datoteko s poverilnicami dvakrat: enkrat pred preklopom, enkrat pri ponovnem pogajanju, ki sledi. Če ima datoteka način 600 in je v lasti root, drugo branje ne uspe, in napaka se uro pozneje pokaže kot napaka preverjanja pristnosti, ki je videti kot težava strežnika. Preverite dnevnik odjemalca okoli intervala ponovnega pogajanja, nato preverite račun in datoteko skupaj.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Obe vrstici sta pomembni. Prva pove, kdo lahko bere datoteko, druga pove, kdo je dejansko tekoči demon, in neskladje med njima pojasni napako, ki je nobeno ponovno pisanje gesla ne bo popravilo.

Praktični popravki niso bleščeči: premaknite datoteko v mapo in k lastniku, ki ju račun demona lahko bere, ali obdržite privilegirano branje in potrdite, da vaš odjemalec bere samo enkrat. Ne rešujte tega tako, da datoteko naredite berljivo vsem.

Primer, ki si možnost res želi

Prijava z enkratno kodo si želi auth-nocache iz drugega razloga. Enkratna koda se porabi ob prvem preverjanju pristnosti, zato je predpomnjena kopija pri naslednjem ponovnem pogajanju neuporabna, in zastarela vrednost bi lahko bila celo znova predvajana.

To je vprašanje vrste poverilnice, ne tega, kje je shranjena. Statično geslo v zaščiteni datoteki ima nasproten profil: berljivo mora biti ob vsakem ponovnem pogajanju, in zaščita, ki jo potrebujete, je na datoteki.

Držite ta dva razloga ločeno v komentarjih profila, sicer bo naslednji skrbnik domneval, da je možnost tam zaradi razloga, ki bi si ga izbral sam.

Primerjava v eni odločitvi

Izberite interaktivni model, ko je človek navzoč in je svežina pomembna, in sprejmite ponovljeno zahtevo kot njegovo ceno. Izberite model datoteke, ko odjemalec teče brez nadzora, in vložite trud v lastništvo, način in odrek privilegijem.

Noben model sam po sebi ne naredi shranjenega gesla varnega in noben ne naredi opozorila ob zagonu smiselnega.

Če je bilo opozorilo edini razlog, da ste odprli profil, zapišite odločitev namesto nerazložene možnosti: poverilnice prihajajo iz datoteke, ki jo račun demona lahko bere, ponovno pogajanje je bilo videno kot uspešno, in razdelek o ponovnem pogajanju v priročniku OpenVPN 2.6 je bil prebran pred spremembo njegovega intervala. Ta zapisek preživi vsako posamezno zastavico.