OpenVPN GUI đã lưu mật khẩu Windows của tôi: nó nằm ở đâu

Hộp thoại kết nối có một ô đánh dấu để ghi nhớ đăng nhập, và khi đánh dấu, thông tin tài khoản rời khỏi đầu người dùng và đi vào máy. Giao diện không bao giờ nói nó ở đâu. Trên Windows, các ứng viên là vùng sổ đăng ký của người dùng hiện tại, một tệp hồ sơ đã mang sẵn thông tin đăng nhập, và những gì một script tự động hóa làm. Mỗi vị trí có trình đọc khác nhau, kiểu hỏng khác nhau và cách dọn dẹp khác nhau, nên câu hỏi hữu ích là tiến trình nào có thể lấy lại bí mật và trong bao lâu. Đi theo ô đánh dấu từ hộp thoại ra ngoài, rồi quyết định chiếc laptop mất thực sự phơi bày điều gì.

Bắt đầu với ô đánh dấu trong hộp thoại kết nối

Giá trị được ghi nhớ lưu theo hồ sơ và theo tài khoản Windows, trong hive của người dùng chứ không phải trong kho chung của máy. Vì vậy người dùng thứ hai trên cùng máy không thấy đăng nhập nào được lưu, và vì vậy cài lại ứng dụng khách không nhất thiết xóa mục đã lưu.

Bản thân tệp hồ sơ lưu máy chủ, cổng và cài đặt nhưng không lưu bí mật, nên người ta thường kiểm tra nhầm thứ trước. Do đó xóa hồ sơ chỉ gỡ kết nối và để lại thông tin xác thực. Đó là điều bất ngờ phổ biến nhất khi dọn dẹp. Hãy xóa cả hai, không phải một.

Giá trị sổ đăng ký tiết lộ điều gì

Tên tài khoản nằm trong văn bản đọc được, nên bất cứ thứ gì chạy dưới người dùng đó đều có thể giải mã mà không cần lời gọi đặc biệt. Mật khẩu thì khác: nó được niêm phong bằng Windows DPAPI, gắn với tài khoản và, tùy cờ, với máy cụ thể. Vì vậy mang khối đã niêm phong sang máy khác và phát lại không tạo ra bí mật dùng được.

Liệt kê các giá trị trả lời câu hỏi vận hành mà không chạm vào chính bí mật. Không cần giải mã gì để xác nhận một mục tồn tại. Danh sách cũng dùng làm bản ghi trước và sau khi dọn dẹp.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Hai giới hạn đáng được nói thẳng. Một tiến trình trong cùng phiên đăng nhập có thể gọi cùng thủ tục gỡ bảo vệ mà ứng dụng khách dùng, nên niêm phong là bảo vệ khi tĩnh, không phải chống lại màn hình đã bị xâm nhập. Và không có mã hóa toàn ổ, giá trị niêm phong riêng tư chừng nào ổ đĩa còn riêng tư.

Khi tệp hồ sơ đã chứa thông tin đăng nhập

Một số cổng cấp cấu hình có ghi sẵn tên tài khoản và mật khẩu, nên ứng dụng khách kết nối âm thầm. Khi đó tệp là thông tin xác thực đang hoạt động, và mỗi bản sao là một chìa khóa khác cho cùng cánh cửa.

Những tệp như vậy nằm trong bản sao lưu, luồng trò chuyện và thư mục đồng bộ, và không bản sao nào ngừng hoạt động khi bản gốc bị xóa. Sửa tệp cục bộ không thay đổi gì ở các bản khác. Thu hồi quyền truy cập nghĩa là đổi mật khẩu trên máy chủ, và phải làm nhanh. Dọn dẹp trên một laptop là việc riêng, nhỏ hơn.

Nơi lời nhắc là chấp nhận được, hãy ưu tiên nó và dùng điều khiển bộ nhớ đệm của ứng dụng khách. Nếu thực sự cần hồ sơ điền sẵn, hãy để nó ngoài thư mục đồng bộ và xóa khi xong việc.

Tự động hóa chuyển bí mật đi nơi khác

Script đưa thêm hai kênh: đối số tiến trình và phím gõ tổng hợp. Tệp được nêu trên dòng lệnh hiển thị cho mọi thứ đọc được đối số tiến trình hoặc quyền tệp, và mật khẩu do công cụ gõ sẽ đi vào cửa sổ đang có tiêu điểm. Một ví dụ đã công bố gõ mật khẩu màn hình như vậy trước khi khởi chạy ứng dụng khách. Hạt giống mật khẩu một lần được lưu cũng cần sự cẩn trọng tương tự, vì nó có thể sinh ra mọi mã tương lai và sống lâu hơn một lần đăng nhập.

Mẫu tốt hơn lưu bí mật ở nơi chỉ tài khoản dịch vụ đọc được, dựa vào tùy chọn thử lại và nguồn thông tin xác thực đã được ghi tài liệu của ứng dụng khách, và tránh gõ chèn trong lời nhắc đặc quyền. Nếu script cần mật khẩu màn hình để nâng quyền, đó là câu hỏi thiết kế đặc quyền, không phải VPN.

Dọn dẹp sau khi mất thiết bị

Trước hết hãy thu hồi hoặc vô hiệu hóa tài khoản trên máy chủ, vì xóa cục bộ không thể vô hiệu hóa bản sao mà ai đó đã có. Sau đó xóa các giá trị sổ đăng ký đã nhớ, gỡ hồ sơ và mọi tệp thông tin xác thực, và tìm mật khẩu đã dán trong lịch sử shell và thư mục script.

Ghi lại những gì đã xóa và khi nào quyền truy cập kết thúc. Cặp đó trả lời câu hỏi duy nhất mà một buổi xem xét sự cố đặt ra: liệu có bản sao thông tin xác thực nào còn hoạt động sau khi thiết bị rời đi.