Viscosity запам’ятав пароль: що зробив цей прапорець

Цей прапорець на екрані входу виглядає як налаштування клієнта, але на керованій машині це часто рішення політики. Елемент керування запам’ятовуванням Viscosity зберігає облікові дані у зв’язці ключів macOS, коли розгортання дозволяє зберігання. Міф полягає в тому, що прапорець завжди можна встановити самому. На практиці його можуть блокувати три окремі речі, і лише одна з них стосується пароля.

Що прапорець насправді зберігає

Вибір параметра запам’ятовування просить клієнт зберегти значення для цього одного з’єднання й облікового запису. Елемент потрапляє до зв’язки ключів, а подальші входи використовують його повторно через підтримуваний запит, а не через приховане налаштування. У сам файл з’єднання нічого не записується. Це розділення також пояснює, чому видалення елемента згодом дає запит, а не пошкоджений профіль.

Збережене значення є входом для автентифікації, яку сервер усе одно виконував би. Воно не змінює того, що вимагає шлюз, не обходить другий фактор і не перетворює одноразовий код на багаторазовий секрет. Скорочується введення, а не політика, яку розгортання застосовує до цього облікового запису.

Чому елемент керування може бути відсутнім

Адміністратор може вимкнути зберігання облікових даних для керованої інсталяції, і SparkLabs документує елемент керування запам’ятовуванням разом із його поведінкою у зв’язці ключів у посібнику зі зберігання облікових даних. Коли прапорець відсутній, він не зламаний, і пошук команди налаштувань, яка його обходить, — неправильна реакція.

Запитайте власника, який підтримуваний робочий процес застосовується натомість. Розгортання, що забороняє зберігання, зазвичай має причину, і причина часто в тому, що обліковий запис спільний, пристрій не є довіреним або облікові дані мають спливати за розкладом. Обхід налаштування перетворює навмисний елемент керування на інцидент, і інцидент зазвичай надходить із доданим аудитом когось іншого.

У некерованій інсталяції відсутній елемент керування — це питання підтримки з доданим номером версії. Надішліть встановлену збірку клієнта і те, що запит насправді показує, замість здогадок про приховані стандартні значення.

Три запити, які не є одним і тим самим запитом

Одноразовий код — не пароль, пароль — не авторизація зв’язки ключів, а відмова сервера — ні те, ні інше, ні третє. Їх змішування породжує збої, які читаються як неправильні облікові дані, тоді як справжня проблема — поле, діалог або маршрут.

Діалог зв’язки ключів є локальним за задумом. Він питає, чи може ця програма читати цей елемент на цій машині, і його схвалення нічого не повідомляє VPN-серверу.

Тому відмова від діалогу дає збій на боці клієнта, якого сервер ніколи не бачить, тоді як неправильний пароль дає відмову на боці сервера, про яку клієнт може лише повідомити. Прочитайте діалог, перш ніж відповідати, і перевірте, що запитувана програма — це очікуваний клієнт, а не інсталятор чи допоміжний процес. Ця різниця найважливіша на спільних машинах, де елемент може бути доступним більш ніж одному обліковому запису.

Другий фактор стоїть поза всім цим. Зберігання пароля не зберігає код, і розгортання, що вимагає код, усе ще вимагає його під час кожного з’єднання. Тримайте цей крок видимим під час тестування, бо потік, який мовчки його пропускає, — не той потік, який ви налаштували.

Відновлення одних облікових даних без скидання решти

Якщо автентифікація не вдалася після зміни пароля, скористайтеся задокументованим шляхом клієнта для повторного запиту й оновлення для цього одного з’єднання, замість того щоб редагувати зв’язку ключів вручну. Прочитайте повідомлення, перш ніж щось замінювати, оскільки тайм-аут, відмова сертифіката або відсутній маршрут не виправляються перезаписом збереженого пароля. Повторення цього здебільшого привчає ігнорувати помилку, яку показує клієнт. Оновіть уражені облікові дані, потім підключіться знову і подивіться, який запит з’явиться.

Повне скидання зв’язки ключів, яке пропонують форуми підтримки, — значно більша зміна, ніж проблема. Збережений пароль одного з’єднання ніяк не пов’язаний із сертифікатом іншого, і очищення всього перетворює один застарілий елемент на цілу половину дня повторної реєстрації.

Завершіть відключенням і повторним підключенням через звичайні елементи керування, підтвердивши, що використовується потрібний обліковий запис і що видалення збереженого елемента дає запит, а не збій. Передбачуване повторне використання з одним чітким способом оновити або видалити облікові дані — ось результат, який варто перевірити.