NetworkManager'ın kayıtlı VPN parolasını göstermesini engelleyin

NetworkManager bir VPN parolasını tutabilir, böylece bağlantı kimse yazmadan açılır ve bu değeri düzenleyici aracılığıyla ya da nmcli --show-secrets aracılığıyla yeniden gösterebilir. Üç sahiplik modeli vardır ve görüntüleme davranışı yalnızca hangisini seçtiğinizin belirtisidir. Önce modeli seçin, sonra ona uyan bayrağı ayarlayın; bir sonraki kişiyi şaşırtacak bir yer tutucuyla alanı gizlemek yerine bunu yapın.

Üç sahiplik modeli

İlk model her seferinde sorar. Hiçbir şey saklanmaz, sır yalnızca etkinleştirme süresince vardır ve bağlantıyı başlatan herkesin parolayı bilmesi gerekir. En az kullanışlı seçenek ve savunması en kolay olanıdır.

İkincisi sırrı kullanıcıya ait bir anahtarlığa verir. Aracı, oturum başladığında kilidi açar ve değeri istendiğinde sunar; bu, değeri bağlantı dosyasının dışında tutar ama bağlantıyı o kullanıcının oturumuna bağlar. Bundan iki koşul doğar: aracı çalışıyor olmalı ve kilidi açık olmalıdır.

Üçüncüsü bir sistem bağlantısı için korumalı kimlik bilgisi saklar. Yeniden başlatmalara dayanır ve kimse giriş yapmadan çalışır; karşılığında değer diskte dosya izinleriyle korunur, şifrelemeyle değil.

Her model doğru bağlamda makuldür. Hata onları karıştırmaktır ve bu yüzden bir dizüstü bilgisayar sırrı iki yerde taşır, hangisinin yetkili olduğuna dair net bir yanıt kalmaz. Bir profilin hangi modeli kullandığını yazın. Ekip kılavuzundaki tek satır, bir sonraki kişiyi dördüncü bir arama yeri icat etmekten kurtarır.

Değiştirmeden önce mevcut durumu okuyun

Bağlantıyı yöneten kullanıcı olarak profili ve sırrın durumunu inceleyin. İkinci komut, değerin gerçekten okunup okunmadığını söyleyen komuttur.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

O dizindeki anahtar dosyası genellikle root'a aittir ve modu 600'dür. Bu, sıradan kullanıcıları dışarıda tutar ve root'u dışarıda tutmaz; aynı makine paylaşıldığında veya bir yedekleme root olarak çalıştığında bu önemlidir.

Dosya izinleri bir sınırdır, şifreleme değildir. Dosyayı root olarak okuyabilen herkesin elinde parola düz metin olarak vardır. Bu, gözetimsiz bir sunucu için kabul edilebilir bir takas ve paylaşılan bir iş istasyonu için kötüdür. Bir kez yazmak, değerin korunup korunmadığına dair uzun bir tartışmayı önler.

Her bayrak değeri ne yapar

VPN sırrı flags adlı bir özellik taşır ve değerler yalnızca sayılardan anlaşılmaz.

Gerçek davranış eklentiye ve bir aracının çalışıp çalışmadığına da bağlıdır, bu yüzden tabloyu sözleşme, gözlenen davranışı ise doğruladığınız şey olarak kabul edin. Bir masaüstünde çalışan bir değer, oturumu olmayan bir sunucuda farklı davranabilir. Kafa karıştıran biletlerin çoğu tam olarak bu boşlukta yaşar.

Bir satırı silip ummak yerine özelliği açıkça ayarlayın. Olmayan bir bayrak politika değildir ve bir sonraki paket güncellemesi onu amaçlamadığınız bir şeyle doldurabilir.

Modeli bağlantının başladığı ana uyarlayın

Bağlantı yalnızca bir kullanıcı oturum açmışken başlıyorsa aracı sahipliği iyi uyar ve sırrı dosyanın dışında tutar. Açılışta, herhangi bir oturum yokken başlıyorsa, bir aracı size yardımcı olamaz.

Çoğu makine için bütün karar budur. Bu ayrıca bağlantının etkileşimli çalışıp yeniden başlatmadan sonra başarısız olduğu kafa karıştırıcı rapor sınıfını da açıklar. Bayrak hiç değişmedi; bağlam değişti.

Gözetimsiz durum için pratik yanıt, root'a ait kısıtlı bir dosya veya onaylanmış bir kimlik bilgisi kaynağıdır. O profil bir gün dışa aktarılır veya başka bir makineye kopyalanırsa bağlantı profilinin dışında tutun.

Değer zaten göründüyse değiştirin

Bir bayrağı değiştirmek parolanın kendisine dokunmaz. Bir ekran görüntüsünde, shell geçmişinde, desteğe gönderilen bir pakette veya diğer kullanıcıların açabileceği bir dosyada ortaya çıkan değer açığa çıkmış sayılmalıdır.

Sunucuda değiştirin, ardından istemciyi düzeltin ve eski parolayla kimlik doğrulamış her oturumu sonlandırın. Yerel bağlantıyı silmek karşı tarafta hiçbir şeyi iptal etmez ve insanların gözden kaçırdığı kısım budur.

Sonra parolayı komut satırına koymayı bırakın. Shell geçmişine düşer ve süreç listesinde görünebilir; bunun yerine etkileşimli istemi veya aracıyı kullanın.

Yeniden bağlanarak doğrulayın

Sırrı gösteren komutu yineleyin ve alanın artık yazdırılmadığını doğrulayın. Sonra bağlantıyı kesip yeniden bağlanın ve bağlantı otomatik başlıyorsa yeniden başlatın, çünkü ilginç arıza yalnızca oturum bağlamı değiştiğinde ortaya çıkar.

Sır hâlâ görünüyorsa onu başka bir profil veya başka bir aracı sağlıyordur. Dosyaları silmek yerine etkin bağlantıyı ve anahtarlığı inceleyin, belirti yer değiştirene kadar.