Hoekom OpenVPN steeds om 'n private-sleutellêer vra wanneer 'n token gebruik word

Jy steek die token in, die verskaffer se eie gereedskap sien dit, en die VPN-kliënt vra steeds om 'n private-sleutellêer. Daardie versoek is nie bewys dat die token nie ondersteun word nie. Dit beteken gewoonlik dat die profiel nooit vir die kliënt gesê het om die token te gebruik nie, en daarom het dit teruggeval op die sertifikaat-en-sleutel-invoer wat dit by verstek verwag.

Twee aparte waardes moet reg wees voordat daardie terugval ophou: die verskaffer wat die token blootstel, en die identiteit van die sertifikaat daarbinne. Hulle word deur verskillende opsies verskaf en is maklik om te verwar.

Die kliënt vra om 'n lêer omdat die profiel dit sê

'n Verstekprofiel verwag 'n sertifikaatlêer en 'n private-sleutellêer, of 'n enkele PKCS#12-bundel. Wanneer daardie invoer ontbreek, het die kliënt niks om te laai nie en gedra dit hom byna soos by 'n ontbrekende lêer, en daarom lees die simptoom as 'n stukkende pad eerder as 'n ontbrekende meganisme. Die PKCS#11-pad vervang daardie invoer eerder as om dit aan te vul, so 'n profiel wat steeds 'n sleutellêer noem, sal die lêer bly gebruik. Verwyder die lêer-invoer doelbewus en laat die token albei helftes lewer.

Die verskaffer-opsie noem 'n middelware-biblioteek, nie 'n toestel en nie 'n sertifikaat nie. Of 'n verpakte kliënt daardie biblioteek kan laai, hang af van hoe dit gebou is, insluitend die opsionele p11-kit-ondersteuning wat sommige boue aanskakel en ander uitlaat. 'n Algemene handleiding kan jou nie sê watter reëling jou pakket het nie.

Die geserialiseerde identiteit is 'n ander waarde

Die sertifikaat-identiteit is 'n lang geserialiseerde string wat deur die ontdekkingsproses geproduseer word, en dit is nie die biblioteekpad, die token-PIN of die VPN-rekeningnaam nie. Dit bevat dikwels karakters wat aangehaal moet word, en 'n waarde sonder aanhalingstekens kan afgekap of verkeerd gelees word sonder 'n duidelike fout. Gebruik die kliënt se eie identiteitsontdekking opsie om te lys wat die token blootstel, en kopieer dan die bedoelde inskrywing presies. Om die eerste objek in die lys te kies, is hoe 'n toestel uiteindelik die verkeerde sertifikaat aanbied.

Die ontdekkingsuitset beantwoord ook 'n vroeëre vraag: of die token hoegenaamd deur daardie verskaffer sigbaar is. As dit niks lys nie, sit die probleem stroomop van die VPN-kliënt en hoort dit by die middelware.

Die proses wat verbind, moet by die token uitkom

'n Token-bewerking wat in jou lessenaansessie werk, bewys niks oor 'n stelseldiens nie. Die diens kan as 'n ander gebruiker loop, in 'n ander mount-naamruimte, met 'n modulepad wat die verskaffer se biblioteek weglaat, of sonder toestemming om die toestelknoop te open. Identifiseer watter proses die verbinding werklik hou en toets vanuit daardie konteks.

PIN-hantering verdien sy eie besluit. Die verwysingsimplementering bied 'n PIN-kas en 'n beskermde verifikasiepad, en albei bestaan sodat 'n operateur 'n werkvloei kan kies eerder as om een te bedink. Moenie 'n onbewaakte vereiste omskakel in 'n gewone-teks-PIN binne 'n gedeelde profiel nie, want dit ruil die token se beskerming vir gerief. Waar die token sleuteluitvoer verbied, gebeur die ondertekening op die toestel en is die PIN die enigste plaaslike geheim. Behandel dit met die sorg wat dit impliseer.

Wat die token nie vervang nie

Die token verifieer die kliënt onder die ontplooide beleid, en dit vervang nie die kliënt se kontroles op die bediener nie. 'n Sertifikaat wat suksesvol gekies is, is nie toestemming om 'n onverwagte poortwag-sertifikaat te aanvaar nie, en die twee verifikasies beskerm teenoorgestelde rigtings.

Inskrywing moet steeds by die uitreiker gebeur, en die poortwag moet steeds die identiteit magtig.

Vir aanvaarding, skei die stadiums: die verskaffer laai, die bedoelde sertifikaat word gevind, die private sleutel word met plaaslike magtiging gebruik, die VPN verifieer, en die hulpbron-bewerking slaag. Stop by die eerste stadium wat faal eerder as om deur wagwoorde te sirkel en die kripto-stapel te herinstalleer.

Teken weergawes, module-eienaarskap, die gekose publieke identifiseerder en gesuiwerde foute aan, en laat PIN's en geloofsbrief-bundels buite daardie rekord.