Linux VPN parolanızı nerede saklamalı? Profilde değil
NetworkManager'ın gizli bayrakları parolayı profilin, bir anahtarlık aracısının yoksa kimsenin tutup tutmadığını belirler. Yanıt, bağlantının ne zaman başladığına bağlıdır.
VPN parolası bir yerde yaşamak zorundadır: bağlantı profilinde, masaüstünün açtığı bir anahtarlıkta ya da hiçbir yerde. NetworkManager bu seçimi gizli bayrak olarak adlandırır ve yanlış olanı seçmek, bir bağlantının oturum açtıktan sonra çalışıp hizmet olarak başarısız olmasının nedenidir. Bayrak tek satır yapılandırmadır ve bu üç sonuçtan hangisini alacağınızı belirler.
Üç bayrak neredeyse her durumu kapsar ve karar bağlantının ne zaman başladığıyla ilgilidir.
Üç gizli bayrak, üç davranış
0 bayrağı, sırrın bağlantıyla birlikte saklandığı anlamına gelir, profil hangi depoda olursa olsun. 1 bayrağı onu aracıya ait yapar: sır, masaüstü anahtarlığı gibi bir gizli aracıdan gelir ve NetworkManager etkinleştirme sırasında onu ister. 2 bayrağı kaydedilmemiş demektir, bu yüzden sır asla yazılmaz ve her seferinde verilmesi gerekir. 4 bayrağı bir sırrı gerekli değil olarak işaretler, gerçekten hiçbirine ihtiyaç duymayan bağlantılar için.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Bayrakları bağlantı başına değil, her sır için ayarlayın. Bir bağlantıda aracıya ait bir parola ve kaydedilmiş özel anahtar parolası birlikte bulunabilir.
Bağlantının ne zaman başladığına göre karar verin
Bağlantıyı oturum açmış bir kullanıcı başlatıyorsa aracıya ait olmak makul varsayılandır: anahtarlık oturum açmayla çözülür ve sır asla bir dosyada durmaz. Bağlantı herhangi biri oturum açmadan önce ayağa kalkmalıysa aracıya ait olmak yanlış seçimdir, çünkü çözülecek bir oturum anahtarlığı yoktur.
Bütün karar budur. Geri kalan her şey bunun bir çeşididir.
Oturum açmadan önce çalışan bir hizmet için desteklenen kalıp, sistem düzeyinde bir depo veya korumalı bir anahtar dosyasıdır ve dosya izinleri koruma haline gelir. Sorunu parolayı önyüklemede çalışan bir shell betiğine yapıştırarak çözmeyin.
Anahtarlığın verdiği ve vermediği şeyler
Anahtarlık sırrı bağlantı profilinin dışında tutar ve bir kullanıcı oturumuna bağlar. Sırrı oturumu olmayan bir hizmet için kullanılabilir kılmaz ve hatta hiçbir şeyi şifrelemez. Bunlar insanların sıkça birleştirdiği ayrı özelliklerdir. Gerçekte satın aldığı şey, profil dosyası sızdığında daha küçük bir hasar yarıçapıdır.
Profilin başvurduğu özel anahtar, parolanın nerede yaşadığından bağımsız olarak kendi izinlerine ihtiyaç duyar.
Sırları dökmeden tanılama
Bağlantı adları, UUID'ler ve bayraklar genellikle bir hatayı açıklamaya yeter. nmcli connection show profili listeler ve gizli bayraklar parolanın nereden gelmesi gerektiğini söyler.
Kaçının --show-secrets biletlerde ve sohbette. Bir kez yapıştırıldığında, bir dökümdeki kimlik bilgisidir.
Depolama, iptal değildir
Bir sırrı bir anahtarlıktan kaldırmak, uzak operatörün zaten kabul ettiği kimlik bilgisini geçersiz kılmaz. Hesap iptali sunucu tarafında bir eylemdir ve yerel depolama ayrı bir sahibi olan ayrı bir konudur.
Her ikisine de olaydan önce karar verin, olay sırasında değil. Etkileşimli bir kullanıcı bağlantısı ile oturum açmadan önceki hizmet farklı yanıtlar gerektirir ve paylaşılan bir shell betiği ikisi de değildir. NetworkManager'ın gizli bayrak belgeleri değerleri tam olarak listeler.