OpenVPN GUI је сачувао моју Windows лозинку: где се налази

Дијалог за повезивање нуди поље за штиклирање да запамти пријаву, и када се штиклира, подаци налога прелазе из главе корисника у машину. Интерфејс никада не каже где. На Windows-у кандидати су регистарска област тренутног корисника, датотека профила која већ садржи пријаву, и оно што ради скрипта за аутоматизацију. Свако место има другог читача, други начин отказа и друго чишћење, зато је корисно питање који процес може да врати тајну и колико дуго. Пратите поље од дијалога ка споља, затим одлучите шта изгубљени лаптоп заиста открива.

Почните од поља у дијалогу за повезивање

Запамћене вредности се чувају по профилу и по Windows налогу, у кошници корисника, а не у заједничком складишту машине. Зато други корисник на истом рачунару не види сачувану пријаву, и зато поновна инсталација клијента не мора да избрише сачувани запис.

Сама датотека профила чува сервер, порт и подешавања, али не и тајну, зато људи прво прегледају погрешан предмет. Брисање профила зато уклања везу и оставља акредитиве. То је најчешће изненађење током чишћења. Уклоните оба предмета, не један.

Шта открива регистарска вредност

Име налога је у читљивом тексту, зато све што ради као тај корисник може да га декодује без посебног позива. Лозинка је другачија: запечаћена је Windows DPAPI-јем, везана за налог и, зависно од заставица, за конкретну машину. Зато премештање запечаћеног блока на други рачунар и његово поновно пуштање не даје употребљиву тајну.

Набрајање вредности одговара на оперативно питање без додиривања саме тајне. Ништа не треба дешифровати да би се потврдило да запис постоји. Списак служи и као запис пре и после чишћења.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Две границе заслужују да буду отворено речене. Процес у истој пријављеној сесији може да позове исту рутину за уклањање заштите коју користи клијент, зато је запечаћење заштита у мировању, а не од компромитоване радне површине. А без потпуног шифровања диска, запечаћена вредност је приватна колико и диск.

Када датотека профила већ садржи пријаву

Неки портали издају конфигурацију са уписаним именом налога и лозинком, зато се клијент повезује тихо. У том тренутку датотека је радни акредитив, а свака њена копија је још један кључ за иста врата.

Такве датотеке завршавају у резервним копијама, чет-нитима и синхронизованим фасциклама, и ниједна од тих копија не престаје да ради када се оригинал избрише. Уређивање локалне датотеке не мења ништа на осталима. Опозив приступа значи промену лозинке на серверу, и то благовремено. Чишћење на једном лаптопу је одвојен, мањи задатак.

Где је захтев прихватљив, дајте му предност и користите контроле кеша клијента. Ако је унапред попуњен профил заиста потребан, држите га ван синхронизованих фасцикли и уклоните га када посао заврши.

Аутоматизација премешта тајну негде другде

Скрипте уводе још два канала: аргументе процеса и синтетичке притиске тастера. Датотека наведена у командној линији видљива је свему што може да чита аргументе процеса или дозволе датотеке, а лозинка коју откуца алат иде у прозор који тренутно има фокус. Један објављени пример откуца лозинку радне површине тако пре покретања клијента. Сачувано семе једнократне лозинке заслужује исту пажњу, јер може да генерише сваки будући код и надживи једну пријаву.

Бољи образац чува тајну тамо где само сервисни налог може да је чита, ослања се на документоване опције клијента за поновни покушај и извор акредитива и избегава убризгано куцање при захтевима за привилегије. Ако скрипти треба лозинка радне површине за подизање, то је питање дизајна привилегија, а не VPN-а.

Чишћење после изгубљеног уређаја

Прво опозовите или деактивирајте налог на серверу, јер локално брисање не може да поништи копију коју неко већ има. Затим очистите запамћене регистарске вредности, уклоните профил и све датотеке акредитива, и претражите историју шкољке и фасцикле скрипти за залепљене лозинке.

Запишите шта је уклоњено и када је приступ завршен. Тај пар одговара на једино питање које преглед инцидента поставља: да ли је нека копија акредитива још радила после одласка уређаја.