auth-nocache me një skedar kredencialesh: ndihmon apo dëmton?

OpenVPN printon në nisje një paralajmërim që sugjeron auth-nocache, dhe përgjigjja joshëse është të shtosh opsionin dhe të shikosh rreshtin të zhduket. Ai këshillë supozon një hyrje interaktive. Pasi emri i përdoruesit dhe fjalëkalimi jetojnë në një skedar, krahasimi ndryshon: opsioni ndalon së mbrojturi kopjen e qëndrueshme, dhe në një klient që heq dorë nga privilegjet mund të thyejë më vonë rinegocimin. Dy modele ruajtjeje ia vlen të mbahen të ndara përpara se të redaktoni një profil.

Dy mënyra për t’iu përgjigjur kërkesës për kredenciale

Modeli i parë është një person që shkruan kredencialet në një terminal, ose një ndërfaqe administrimi që i mban për sesionin. OpenVPN e ruan atë kopje që të mund t’i përgjigjet rinegocimit të ardhshëm pa pyetur përsëri, dhe paralajmërimi është pikërisht për këtë. Asgjë në disk nuk është e përfshirë, kështu që e vetmja gjë për të mbrojtur është procesi që mban vlerën. Mbyll klientin dhe kopja zhduket me të.

Modeli i dytë është auth-user-pass që tregon një skedar, ku skedari është depoja dhe klienti e lexon kur nevojitet një vlerë. Ekspozimi që ka rëndësi këtu nuk është memoria e procesit, por lejet dhe pronësia e atij skedari. Paralajmërimi i nisjes vjen nga direktivat në konfigurim, jo nga një inspektim i mënyrës se si e furnizoni fjalëkalimin, prandaj shfaqet në të dy modelet dhe nuk tregon asnjërin.

Pjesa tjetër e këtij krahasimi rrjedh nga ajo ndarje: trajtimi i memories për një model, trajtimi i skedarit dhe identiteti i procesit për tjetrin.

Çfarë hedh në të vërtetë auth-nocache

Me një hyrje interaktive, --auth-nocache e heq kopjen e ruajtur nga memoria pasi është përdorur. Kostoja është një kërkesë e re në çdo interval rinegocimi, sepse raundi tjetër nuk mund të ripërdorë atë që u hodh.

Me një hyrje të bazuar në skedar klienti mund ta lexojë skedarin përsëri, kështu që hedhja është kryesisht e padukshme. Bëhet e dukshme në vendin e vetëm ku njerëzit nuk e presin: pasi demoni heq dorë nga privilegjet, nëse skedari i kredencialeve nuk lexohet nga llogaria nën të cilën po punon tani.

Shto opsionin sepse e kupton atë shkëmbim, jo sepse u shfaq një paralajmërim. Një opsion i shtuar për ta bërë një regjistër më të qetë është një opsion efekti i të cilit nuk është matur nga askush.

Ku thyhet rruga e bazuar në skedar

Një klient që nis si root për të hapur pajisjen e tunelit dhe më pas kalon në user dhe group , e lexon skedarin e kredencialeve dy herë: një herë përpara kalimit, një herë në rinegocimin që vijon. Nëse skedari është në modalitetin 600 dhe zotërohet nga root, leximi i dytë dështon, dhe dështimi shfaqet një orë më vonë si një gabim vërtetimi që duket si problem serveri. Kontrollo regjistrin e klientit rreth intervalit të rinegocimit, pastaj kontrollo llogarinë dhe skedarin së bashku.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Të dy rreshtat kanë rëndësi. I pari të thotë kush mund ta lexojë skedarin, i dyti të thotë kush është në të vërtetë demoni që punon, dhe mospërputhja midis tyre shpjegon një dështim që asnjë rishkrim i fjalëkalimit nuk do ta rregullojë.

Rregullimet praktike nuk janë glamuroze: zhvendos skedarin në një drejtori dhe te një pronar që llogaria e demonit mund t’i lexojë, ose mbaj leximin e privilegjuar dhe konfirmo që klienti yt lexon vetëm një herë. Mos e zgjidh duke e bërë skedarin të lexueshëm nga të gjithë.

Rasti që e dëshiron vërtet opsionin

Një hyrje që mban një kod të përdorimit një herë dëshiron auth-nocache për një arsye tjetër. Kodi i përdorimit një herë harxhohet nga vërtetimi i parë, kështu që një kopje në cache është e padobishme në rinegocimin tjetër dhe një vlerë e vjetruar mund të riprodhohej madje.

Kjo është një pyetje për llojin e kredencialit, jo për vendin ku ruhet. Një fjalëkalim statik në një skedar të mbrojtur ka profilin e kundërt: duhet të jetë i lexueshëm në çdo rinegocim, dhe mbrojtja që të duhet është mbi skedarin.

Mbaji këto dy arsye të ndara në komentet e profilit, përndryshe administratori tjetër do të supozojë që opsioni është atje për arsyen që do të kishte zgjedhur ai.

Krahasimi në një vendim

Zgjidh modelin interaktiv kur është i pranishëm një person dhe freskia ka rëndësi, dhe prano kërkesën e përsëritur si koston e tij. Zgjidh modelin e skedarit kur klienti punon pa mbikëqyrje, dhe shpenzo përpjekjen në pronësi, modalitet dhe heqjen dorë nga privilegjet.

Asnjë model nuk e bën një fjalëkalim të ruajtur të sigurt më vete, dhe asnjë nuk e bën paralajmërimin e nisjes kuptimplotë.

Nëse paralajmërimi është arsyeja e vetme pse e hape profilin, shëno vendimin në vend të një opsioni të pashpjeguar: kredencialet vijnë nga një skedar që llogaria e demonit mund ta lexojë, një rinegocim është parë të ketë sukses, dhe seksioni për rinegocimin në manualin OpenVPN 2.6 u lexua përpara se të ndryshohej intervali i tij. Ai shënim i mbijeton çdo flamuri të vetëm.