auth-nocache na faili ya vitambulisho: inasaidia au inadhuru?

OpenVPN huchapisha onyo wakati wa kuanza linalopendekeza auth-nocache, na jibu la kuvutia ni kuongeza chaguo na kutazama mstari ukiondoka. Ushauri huo unadhani kuingia kwa mwingiliano. Mara jina la mtumiaji na nenosiri vinapoishi kwenye faili, ulinganisho unabadilika: chaguo huacha kulinda nakala ya kudumu, na kwa mteja anayeacha marupurupu linaweza baadaye kuvunja mazungumzo upya. Miundo miwili ya kuhifadhi inafaa kuwekwa kando kabla ya kuhariri wasifu.

Njia mbili za kujibu ombi la vitambulisho

Muundo wa kwanza ni mtu anayeandika vitambulisho kwenye terminal, au kiolesura cha usimamizi kinachovishikilia kwa kipindi. OpenVPN huhifadhi nakala hiyo ili iweze kujibu mazungumzo upya yajayo bila kuuliza tena, na onyo linahusu hilo hasa. Hakuna kitu kwenye diski kinachohusika, kwa hivyo kitu pekee cha kulinda ni mchakato unaoshikilia thamani. Funga mteja na nakala inaondoka pamoja naye.

Muundo wa pili ni auth-user-pass unaoelekeza kwenye faili, ambapo faili ndilo ghala na mteja huilisoma thamani inapohitajika. Ufichuzi unaohesabiwa hapa si kumbukumbu ya mchakato bali ruhusa na umiliki wa faili hilo. Onyo la kuanza linatoka kwenye maagizo ya usanidi, si kwenye ukaguzi wa jinsi unavyotoa nenosiri, kwa hivyo linaonekana katika miundo yote miwili na haluelekezi kwa yoyote.

Sehemu iliyobaki ya ulinganisho huu inafuata mgawanyiko huo: usimamizi wa kumbukumbu kwa muundo mmoja, usimamizi wa faili na utambulisho wa mchakato kwa mwingine.

Auth-nocache hutupa nini kwa kweli

Kwa kuingia kwa mwingiliano, --auth-nocache huondoa nakala iliyohifadhiwa kwenye kumbukumbu baada ya kutumika. Gharama ni ombi jipya katika kila kipindi cha mazungumzo upya, kwa sababu raundi inayofuata haiwezi kutumia tena kile kilichotupwa.

Kwa kuingia kwa msingi wa faili mteja anaweza kusoma faili tena, kwa hivyo utupaji hauonekani mara nyingi. Unakuwa wazi mahali pamoja ambapo watu hawatarajii: baada ya daemon kuacha marupurupu, ikiwa faili ya vitambulisho haisomeki kwa akaunti inayoendesha sasa.

Ongeza chaguo kwa sababu unaelewa ubadilishanaji huo, si kwa sababu onyo limeonekana. Chaguo linaloongezwa ili kufanya logi kuwa tulivu ni chaguo ambalo athari yake hakuna aliyepima.

Wapi njia ya msingi wa faili inavunjika

Mteja anayeanza kama root ili kufungua kifaa cha handaki kisha hubadilika kwenda user na group , husoma faili ya vitambulisho mara mbili: mara moja kabla ya mabadiliko, mara moja kwenye mazungumzo upya yanayofuata. Ikiwa faili iko katika hali 600 na inamilikiwa na root, usomaji wa pili unashindikana, na kushindikana huonekana saa moja baadaye kama hitilafu ya uthibitishaji inayofanana na tatizo la seva. Angalia logi ya mteja karibu na kipindi cha mazungumzo upya, kisha angalia akaunti na faili pamoja.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Mistari yote miwili ni muhimu. Ya kwanza inasema nani anaweza kusoma faili, ya pili inasema daemon inayoendesha ni nani kwa kweli, na kutokubaliana kati yao kunaeleza kushindikana ambako hakuna kuandika nenosiri tena kutakurekebisha.

Marekebisho ya vitendo hayana fahari: hamishia faili kwenye saraka na mmiliki ambaye akaunti ya daemon inaweza kusoma, au weka usomaji wa upendeleo na uthibitisha kuwa mteja wako husoma mara moja tu. Usitatue kwa kufanya faili isomeke kwa kila mtu.

Kesi inayotaka chaguo kwa kweli

Kuingia kunakobeba msimbo wa matumizi ya mara moja kunataka auth-nocache kwa sababu tofauti. Msimbo wa matumizi ya mara moja hutumika kwenye uthibitishaji wa kwanza, kwa hivyo nakala iliyohifadhiwa kwenye akiba haina maana kwenye mazungumzo upya yajayo na thamani ya zamani inaweza hata kuchezwa tena.

Hili ni swali kuhusu aina ya kitambulisho, si kuhusu mahali kinapohifadhiwa. Nenosiri tuli kwenye faili iliyolindwa lina wasifu kinyume: lazima lisomeke katika kila mazungumzo upya, na ulinzi unaohitaji uko kwenye faili.

Tenganisha sababu hizo mbili kwenye maoni ya wasifu, la sivyo msimamizi anayefuata atadhani chaguo liko hapo kwa sababu ambayo yeye mwenyewe angeshiriki.

Ulinganisho katika uamuzi mmoja

Chagua muundo wa mwingiliano wakati mtu yupo na ubichi ni muhimu, na kubali ombi la kurudia kama gharama yake. Chagua muundo wa faili wakati mteja anaendesha bila usimamizi, na tumia juhudi kwenye umiliki, hali na kuacha marupurupu.

Hakuna muundo unaofanya nenosiri lililohifadhiwa kuwa salama peke yake, na hakuna unaofanya onyo la kuanza kuwa na maana.

Ikiwa onyo ni sababu pekee uliyofungua wasifu, andika uamuzi badala ya chaguo lisiloelezwa: vitambulisho vinatoka kwenye faili ambayo akaunti ya daemon inaweza kusoma, mazungumzo upya yameonekana yakifanikiwa, na sehemu ya mazungumzo upya kwenye mwongozo wa OpenVPN 2.6 ilisomwa kabla ya kubadilisha kipindi chake. Kidokezo hicho huishi zaidi ya bendera yoyote moja.