OpenVPN GUI sparade mitt Windows-lösenord: var det finns

Anslutningsdialogen erbjuder en kryssruta för att komma ihåg inloggningen, och när den bockas i flyttas kontouppgifterna från användarens huvud till maskinen. Gränssnittet säger aldrig var. I Windows är kandidaterna den aktuella användarens registerområde, en profilfil som redan innehåller inloggningen och vad ett automatiseringsskript gör. Varje plats har en annan läsare, ett annat felbeteende och en annan städning, så den användbara frågan är vilken process som kan återställa hemligheten och hur länge. Följ kryssrutan ut från dialogen och avgör sedan vad en förlorad laptop faktiskt avslöjar.

Börja med kryssrutan i anslutningsdialogen

Kom ihåg-värden sparas per profil och per Windows-konto i användarens hive, inte i ett delat maskinlager. Därför ser en andra användare på samma dator ingen sparad inloggning, och därför raderar inte en ominstallation av klienten nödvändigtvis den sparade posten.

Själva profilfilen sparar server, port och inställningar men ingen hemlighet, och därför undersöker folk först den felaktiga artefakten. Att radera profilen tar därför bort anslutningen och lämnar inloggningsuppgifterna kvar. Det är den vanligaste överraskningen vid städning. Ta bort båda artefakterna, inte en.

Vad registervärdet avslöjar

Kontonamnet står i läsbar text, så allt som körs som den användaren kan avkoda det utan något särskilt anrop. Lösenordet är annorlunda: det är förseglat med Windows DPAPI, bundet till kontot och, beroende på flaggorna, till den specifika maskinen. Att flytta den förseglade blobben till en annan dator och spela upp den igen ger därför ingen användbar hemlighet.

Att lista värdena svarar på driftsfrågan utan att röra hemligheten själv. Ingenting behöver dekrypteras för att bekräfta att en post finns. Listan fungerar också som före-och-efter-underlag för städningen.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Två gränser förtjänar att sägas rakt ut. En process i samma inloggade session kan anropa samma avskyddsrutin som klienten använder, så förseglingen är skydd i vila och inte mot ett komprometterat skrivbord. Och utan full diskkryptering är det förseglade värdet bara så privat som disken.

När profilfilen redan innehåller inloggningen

Vissa portaler delar ut en konfiguration med kontonamn och lösenord inskrivna, så klienten ansluter tyst. Då är filen en fungerande inloggningsuppgift, och varje kopia av den är en nyckel till samma dörr.

Sådana filer hamnar i säkerhetskopior, chattrådar och synkroniserade mappar, och ingen av kopiorna slutar fungera när originalet raderas. Att redigera den lokala filen ändrar ingenting på de andra. Att återkalla åtkomst betyder att byta lösenordet på servern, och det snabbt. Städning på en laptop är en separat, mindre uppgift.

Där en prompt är acceptabel, föredra den och använd klientens cachelagringsinställningar. Om en förifylld profil verkligen behövs, håll den utanför synkroniserade mappar och ta bort den när arbetet är slut.

Automatisering flyttar hemligheten någon annanstans

Skript introducerar två kanaler till: processargument och syntetiska tangenttryckningar. En fil som namnges på en kommandorad är synlig för allt som kan läsa processargumenten eller filens behörigheter, och ett lösenord som ett verktyg skriver går till fönstret som har fokus. Ett publicerat exempel skriver skrivbordets lösenord så innan klienten startas. Ett lagrat engångslösenordsfrö förtjänar samma omsorg, eftersom det kan generera varje framtida kod och överlever en enda inloggning.

Det bättre mönstret lagrar hemligheten där bara tjänstekontot kan läsa den, litar på klientens dokumenterade alternativ för nytt försök och inloggningskälla, och undviker injicerad skrivning vid behörighetsförfrågningar. Om skriptet behöver skrivbordets lösenord för höjning är det en fråga om behörighetsdesign och inte om VPN.

Städning efter en förlorad enhet

Återkalla eller inaktivera kontot på servern före allt annat, eftersom lokal radering inte kan ogiltigförklara en kopia som någon redan har. Töm sedan de sparade registervärdena, ta bort profilen och eventuella inloggningsfiler, och sök igenom skalhistorik och skriptkataloger efter inklistrade lösenord.

Skriv ned vad som togs bort och när åtkomsten upphörde. Det paret svarar på den enda frågan en incidentgenomgång ställer: om någon kopia av inloggningsuppgiften fortfarande fungerade efter att enheten försvann.