OpenVPN GUI บันทึกรหัสผ่าน Windows ของฉันไว้: มันอยู่ที่ไหน

กล่องโต้ตอบการเชื่อมต่อมีช่องทำเครื่องหมายให้จดจำการเข้าสู่ระบบ และเมื่อติ๊ก รายละเอียดบัญชีก็ย้ายจากหัวของผู้ใช้เข้าไปในเครื่อง อินเทอร์เฟซไม่เคยบอกว่าอยู่ที่ไหน บน Windows ตัวเลือกคือพื้นที่รีจิสทรีของผู้ใช้ปัจจุบัน ไฟล์โปรไฟล์ที่มีข้อมูลเข้าสู่ระบบอยู่แล้ว และสิ่งที่สคริปต์อัตโนมัติทำ แต่ละที่มีผู้อ่าน วิธีล้มเหลว และการล้างที่ต่างกัน คำถามที่มีประโยชน์คือกระบวนการใดกู้ความลับกลับมาได้ และได้นานแค่ไหน ตามช่องทำเครื่องหมายจากกล่องโต้ตอบออกไป แล้วตัดสินว่าแล็ปท็อปที่หายไปเปิดเผยอะไรจริง ๆ

เริ่มจากช่องทำเครื่องหมายในกล่องโต้ตอบการเชื่อมต่อ

ค่าที่จดจำไว้ถูกเก็บแยกตามโปรไฟล์และบัญชี Windows ไว้ในฮีฟของผู้ใช้ ไม่ใช่ในที่เก็บของเครื่องที่ใช้ร่วมกัน เพราะฉะนั้นผู้ใช้คนที่สองบนเครื่องเดียวกันจึงไม่เห็นข้อมูลเข้าสู่ระบบที่บันทึกไว้ และเพราะฉะนั้นการติดตั้งไคลเอนต์ใหม่จึงไม่จำเป็นต้องลบรายการที่บันทึกไว้

ไฟล์โปรไฟล์เองเก็บเซิร์ฟเวอร์ พอร์ต และการตั้งค่า แต่ไม่เก็บความลับ เพราะฉะนั้นคนจึงตรวจสิ่งที่ผิดก่อน การลบโปรไฟล์จึงเอาการเชื่อมต่อออกและทิ้งข้อมูลรับรองไว้ นั่นคือสิ่งที่ทำให้ประหลาดใจบ่อยที่สุดตอนล้าง ลบทั้งสองอย่าง ไม่ใช่แค่อย่างเดียว

ค่าของรีจิสทรีเปิดเผยอะไร

ชื่อบัญชีอยู่ในข้อความที่อ่านได้ สิ่งใดก็ตามที่รันในชื่อผู้ใช้คนนั้นจึงถอดรหัสได้โดยไม่ต้องเรียกพิเศษ รหัสผ่านต่างออกไป มันถูกผนึกด้วย Windows DPAPI ผูกกับบัญชี และผูกกับเครื่องนั้นตามแฟล็ก การย้ายบล็อกที่ผนึกไว้ไปยังเครื่องอื่นแล้วเล่นซ้ำจึงไม่ได้ความลับที่ใช้ได้

การแสดงรายการค่าให้คำตอบของคำถามเชิงปฏิบัติโดยไม่แตะความลับ ไม่ต้องถอดรหัสอะไรเพื่อยืนยันว่ามีรายการอยู่ รายการนี้ยังใช้เป็นบันทึกก่อนและหลังสำหรับการล้าง

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

มีสองขอบเขตที่ควรพูดตรง ๆ กระบวนการในเซสชันที่เข้าสู่ระบบเดียวกันเรียกขั้นตอนถอดการป้องกันเดียวกับที่ไคลเอนต์ใช้ได้ ดังนั้นการผนึกคือการป้องกันขณะนิ่ง ไม่ใช่การป้องกันเดสก์ท็อปที่ถูกยึด และถ้าไม่มีการเข้ารหัสดิสก์ทั้งลูก ค่าที่ผนึกไว้ก็เป็นส่วนตัวได้เท่าดิสก์

เมื่อไฟล์โปรไฟล์มีข้อมูลเข้าสู่ระบบอยู่แล้ว

พอร์ทัลบางแห่งส่งการกำหนดค่าที่มีชื่อบัญชีและรหัสผ่านเขียนไว้ ไคลเอนต์จึงเชื่อมต่ออย่างเงียบ ๆ ตอนนั้นไฟล์คือข้อมูลรับรองที่ใช้งานได้ และทุกสำเนาคือกุญแจอีกดอกของประตูเดียวกัน

ไฟล์แบบนั้นไปอยู่ในสำรอง กระทู้แชต และโฟลเดอร์ที่ซิงก์ และไม่มีสำเนาใดหยุดทำงานเมื่อต้นฉบับถูกลบ การแก้ไฟล์ในเครื่องไม่เปลี่ยนอะไรในสำเนาอื่น การเพิกถอนการเข้าถึงหมายถึงการเปลี่ยนรหัสผ่านบนเซิร์ฟเวอร์ และต้องทำเร็ว การล้างบนแล็ปท็อปเครื่องเดียวเป็นงานแยกที่เล็กกว่า

ที่ใดยอมรับพรอมต์ได้ ให้เลือกใช้และใช้การควบคุมแคชของไคลเอนต์ ถ้าจำเป็นต้องใช้โปรไฟล์ที่เติมไว้ล่วงหน้าจริง ๆ ให้เก็บไว้นอกโฟลเดอร์ที่ซิงก์และลบเมื่องานเสร็จ

ระบบอัตโนมัติย้ายความลับไปที่อื่น

สคริปต์เพิ่มอีกสองช่องทาง คืออาร์กิวเมนต์ของโปรเซสและการกดแป้นสังเคราะห์ ไฟล์ที่ระบุบนบรรทัดคำสั่งมองเห็นได้โดยทุกสิ่งที่อ่านอาร์กิวเมนต์ของโปรเซสหรือสิทธิ์ของไฟล์ได้ และรหัสผ่านที่เครื่องมือพิมพ์จะไปยังหน้าต่างที่กำลังมีโฟกัส ตัวอย่างที่เผยแพร่ตัวอย่างหนึ่งพิมพ์รหัสผ่านเดสก์ท็อปแบบนั้นก่อนเปิดไคลเอนต์ เมล็ดรหัสผ่านใช้ครั้งเดียวที่เก็บไว้ก็ควรได้รับการดูแลแบบเดียวกัน เพราะมันสร้างรหัสในอนาคตได้ทุกตัวและอยู่ได้นานกว่าการเข้าสู่ระบบครั้งเดียว

รูปแบบที่ดีกว่าคือเก็บความลับไว้ที่ที่บัญชีบริการเท่านั้นที่อ่านได้ พึ่งตัวเลือกการลองใหม่และแหล่งข้อมูลรับรองที่ไคลเอนต์จัดทำเอกสารไว้ และหลีกเลี่ยงการพิมพ์ที่ถูกฉีดในพรอมต์สิทธิ์ ถ้าสคริปต์ต้องการรหัสผ่านเดสก์ท็อปเพื่อยกระดับสิทธิ์ นั่นเป็นคำถามของการออกแบบสิทธิ์ ไม่ใช่ VPN

การล้างหลังอุปกรณ์หาย

เพิกถอนหรือปิดใช้งานบัญชีบนเซิร์ฟเวอร์ก่อนสิ่งอื่น เพราะการลบในเครื่องไม่ทำให้สำเนาที่คนอื่นมีอยู่แล้วใช้ไม่ได้ จากนั้นล้างค่ารีจิสทรีที่จดจำไว้ ลบโปรไฟล์และไฟล์ข้อมูลรับรองทั้งหมด และค้นประวัติเชลล์กับโฟลเดอร์สคริปต์หารหัสผ่านที่วางไว้

จดว่าลบอะไรและการเข้าถึงสิ้นสุดเมื่อไร คู่นี้ตอบคำถามเดียวที่การทบทวนเหตุการณ์ถาม คือมีสำเนาข้อมูลรับรองใดยังใช้ได้หลังอุปกรณ์จากไปหรือไม่