Rilidh VPN-në e Windows pa e vendosur fjalëkalimin në detyrë

Çdo recetë e rilidhjes pa mbikëqyrje përfundon në të njëjtën pyetje: ku jeton fjalëkalimi. Përgjigjja popullore është vetë veprimi i detyrës, i cili është gjithashtu vendi më i keq për të. Ekzistojnë dy modele të tjera. Cili përshtatet varet nga fakti nëse makina mund të vërtetojë pa një person dhe nëse serveri pranon certifikata.

Çfarë lë të lexueshme një veprim detyre

Argumentet në një detyrë të planifikuar janë pjesë e përkufizimit të saj, jo një vlerë e fshehur në kohë ekzekutimi. Kushdo që mund të lexojë detyrën, të rikthejë një kopje rezervë të saj ose të eksportojë XML-në e saj sheh vargun saktësisht siç e keni shtypur. Gjatë një ekzekutimi i njëjti varg shfaqet në listën e proceseve. Një agjent monitorimi mund ta kopjojë atë në një regjistër që nuk e shqyrtoni kurrë.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Verifikoni përpara se të supozoni të kundërtën. Komanda e parë shtyp përkufizimin e plotë, duke përfshirë veprimin dhe argumentet e tij. E dyta tregon cilat kredenciale ka ruajtur në cache llogaria aktuale, gjë që ka rëndësi për modelet alternative më poshtë. Nëse fjalëkalimi shfaqet në XML-në e detyrës, rrotullimi i tij është vetëm gjysma e riparimit, sepse detyra ende mban vlerën e vjetër.

Çfarë sjell vërtet një çelës i ruajtur i para-ndarë

Add-VpnConnection -L2tpPsk e shkruan çelësin në zërin e librit telefonik të lidhjes në vend të një detyre. Kjo është një sipërfaqe ekspozimi më e vogël se një veprim detyre. Është ende një sekret i rikuperueshëm, sepse një administrator në makinë mund të lexojë librin telefonik.

Për një lidhje laboratori midis dy makinave që kontrolloni, ai shkëmbim mund të jetë i pranueshëm. Për një kredencial përdoruesi në një pikë fundore të përbashkët, nuk është. Ta quash ruajtje e kriptuar nuk ndryshon kush mund ta lexojë. Libri telefonik është një skedar konfigurimi. Planifikoni për personin që mund ta hapë, jo vetëm për personin që mund të hyjë si përdorues.

Kredencialet e Winlogon heqin sekretin dhe shtojnë një varësi

-UseWinlogonCredential zgjedh një rrugë tjetër. Lidhja vërteton me MSCHAPv2 kundrejt kredencialeve të përdoruesit të hyrë. Asgjë shtesë nuk ruhet për atë llogari.

Varësia që shton është e konsiderueshme. Duhet të ketë një hyrje interaktive për të huazuar, gjë që përjashton një llogari shërbimi dhe një detyrë para hyrjes. Lidhja gjithashtu trashëgon gjithçka që kredencialet e atij përdoruesi mund të arrijnë në server. Lexojeni çelësin si një deklaratë për nga vjen kredenciali, jo si një cilësim sigurie. Ai ndryshon burimin dhe asgjë në mënyrën se si serveri autorizon sesionin më pas.

Vërtetimi me certifikatë shkallëzohet sepse asgjë nuk ruhet

Aty ku serveri mbështet EAP-TLS, një certifikatë makine heq plotësisht sekretin e përbashkët, dhe revokimi ndodh në shtresën e certifikatës. Një detyrë që ekzekutohet si SYSTEM mund ta paraqesë atë certifikatë pa një hyrje interaktive. Konfirmoni që serveri pranon vërtetimin me certifikatë përpara se të ndërtoni mbi të. Një model që varet nga një metodë e pambështetur është një plan, jo një zgjidhje. Pastaj vendosni ku jeton çelësi privat: magazina e makinës për identitetin e një pajisjeje, magazina e përdoruesit për një person.

Aty ku emri i përdoruesit dhe fjalëkalimi nuk mund të shmangen, ruajini ato në Credential Manager të kufizuara në llogarinë e vetë detyrës. Lëreni klientin t'i lexojë ato prej andej në vend të një argumenti. Një sekret që detyra mund të marrë pa e shtypur është një problem më i vogël se ai i shkruar në përkufizimin e saj.

Rishikoni artefaktet përpara rrotullimit të radhës

Shikoni çfarë është ruajtur dhe jo çfarë keni synuar. Kontrolloni librin telefonik për çdo përdorues, kopjen për të gjithë përdoruesit, XML-në e detyrës dhe çdo skript që thërret komandën e telefonimit. Pastaj konfirmoni që certifikata ose kredenciali i ruajtur në cache është i kufizuar në llogarinë që përdor detyra, sepse një kredencial i ruajtur për llogarinë tuaj interaktive është i padukshëm për SYSTEM.

Regjistroni metodën e vërtetimit dhe llogarinë në shënimet e vetë detyrës. Personi i radhës që do të ndryshojë politikën e serverit duhet të dijë cili model është në lojë. Ai përgjigje nuk shihet vetëm nga sjellja e rilidhjes. Shkruajeni atje ku rrotullimi i radhës do të shohë së pari.