Ini-save ng OpenVPN GUI ang aking Windows password: nasaan ito

Naghahain ang dialog ng koneksyon ng isang kahon na lalagyan ng tsek para tandaan ang login, at kapag tinsekan ito ay lumilipat ang mga detalye ng account mula sa isip ng user papunta sa makina. Hindi kailanman sinasabi ng interface kung saan. Sa Windows, ang mga kandidato ay ang registry area ng kasalukuyang user, isang profile file na may dalang login na, at ang ginagawa ng isang automation script. Bawat lokasyon ay may ibang nagbabasa, ibang paraan ng pagpalya at ibang paglilinis, kaya ang kapaki-pakinabang na tanong ay aling proseso ang makakabawi ng sikreto at gaano katagal. Sundan ang kahon mula sa dialog palabas, pagkatapos ay pagpasyahan kung ano talaga ang inilalantad ng nawawalang laptop.

Magsimula sa kahon sa dialog ng koneksyon

Ang mga natandaan na halaga ay itinatago kada profile at kada Windows account, sa hive ng user at hindi sa isang shared machine store. Kaya ang ikalawang user sa parehong computer ay walang nakikitang naka-save na login, at kaya hindi kinakailangang burahin ng muling pag-install ng client ang naka-save na entry.

Ang profile file mismo ay nagtatago ng server, port at mga setting pero walang sikreto, kaya ang mga tao ay unang sinusuri ang maling bagay. Kaya ang pagbura ng profile ay nag-aalis ng koneksyon at iniiwan ang kredensyal. Iyon ang pinakakaraniwang sorpresa sa paglilinis. Alisin ang dalawang bagay, hindi isa.

Ano ang inilalantad ng registry value

Nasa nababasang teksto ang pangalan ng account, kaya anumang tumatakbo bilang ganoong user ay maaaring i-decode ito nang walang espesyal na tawag. Iba ang password: ito ay selyadong may Windows DPAPI, nakatali sa account at, depende sa mga flag, sa partikular na makina. Kaya ang paglipat ng selyadong bloke sa ibang computer at pag-replay nito ay hindi nagbibigay ng magagamit na sikreto.

Sinasagot ng paglilista ng mga halaga ang operasyonal na tanong nang hindi hinahawakan ang sikreto. Walang kailangang i-decrypt para kumpirmahin na may entry. Nagsisilbi rin ang listahan bilang tala bago at pagkatapos para sa paglilinis.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Dalawang hangganan ang dapat sabihin nang tapat. Ang isang proseso sa loob ng parehong naka-login na session ay makakatawag ng parehong rutin ng pagtanggal ng proteksyon na ginagamit ng client, kaya ang pagselyado ay proteksyon habang tahimik at hindi laban sa kompromisadong desktop. At kung walang buong disk encryption, ang selyadong halaga ay pribado lamang hangga't ang disk.

Kapag ang profile file ay may login na

Ang ilang portal ay nagbibigay ng configuration na may nakasulat na account name at password, kaya tahimik na kumokonekta ang client. Sa puntong iyon ang file ay gumaganang kredensyal, at bawat kopya nito ay isa pang susi sa parehong pinto.

Ang mga ganitong file ay napupunta sa mga backup, chat thread at naka-sync na folder, at wala sa mga kopyang iyon ang tumitigil gumana kapag binura ang orihinal. Ang pag-edit ng lokal na file ay walang binabago sa iba. Ang pag-revoke ng access ay nangangahulugang pagpapalit ng password sa server, at gawin ito agad. Ang paglilinis sa isang laptop ay hiwalay at mas maliit na gawain.

Kung saan katanggap-tanggap ang prompt, piliin iyon at gamitin ang mga kontrol ng cache ng client. Kung talagang kailangan ang pre-filled na profile, ilayo ito sa mga naka-sync na folder at alisin kapag tapos na ang trabaho.

Ginagalaw ng automation ang sikreto sa ibang lugar

Dalawang channel pa ang ipinapasok ng mga script: mga argumento ng proseso at sintetikong pagpindot ng key. Ang file na pinangalanan sa command line ay nakikita ng anumang makakabasa ng mga argumento ng proseso o ng mga permiso ng file, at ang password na itina-type ng tool ay napupunta sa window na may focus. Isang inilathalang halimbawa ay nagta-type ng password ng desktop sa ganoong paraan bago ilunsad ang client. Ang naka-save na one-time password seed ay karapat-dapat sa parehong pag-iingat, dahil makakabuo ito ng bawat susunod na code at nakakalampas sa isang login.

Ang mas mabuting pattern ay nagtatago ng sikreto kung saan tanging service account ang makakabasa nito, umaaasa sa mga dokumentadong opsyon ng client sa muling pagsubok at pinagmulan ng kredensyal, at iniiwasan ang injected na pagta-type sa mga prompt ng pribilehiyo. Kung kailangan ng script ang password ng desktop para sa elevation, tanong iyon ng disenyo ng pribilehiyo, hindi ng VPN.

Paglilinis pagkatapos ng nawalang device

I-revoke o i-disable ang account sa server bago ang lahat, dahil hindi maaaring ipawalang-bisa ng lokal na pagbura ang kopyang taglay na ng iba. Pagkatapos ay linisin ang mga natandaan na registry value, alisin ang profile at anumang credential file, at hanapin ang mga nakadikit na password sa shell history at script directory.

Isulat kung ano ang inalis at kailan natapos ang access. Ang pares na iyon ay sumasagot sa nag-iisang tanong ng pagsusuri ng insidente: kung may kopya pa ng kredensyal na gumagana pagkatapos umalis ng device.