Чаму OpenVPN па-ранейшаму просіць файл прыватнага ключа пры наяўнасці токена

Вы ўстаўляеце токен, уласны інструмент пастаўшчыка бачыць яго, а кліент VPN па-ранейшаму просіць файл прыватнага ключа. Гэтае запытанне не доказ таго, што токен не падтрымліваецца. Звычайна гэта значыць, што профіль ніколі не казаў кліенту выкарыстоўваць токен, таму ён вярнуўся да ўводаў сертыфіката і ключа, якія чакае па змаўчанні.

Дзве асобныя велічыні павінны быць правільнымі, перш чым гэтае вяртанне спыніцца: пастаўшчык, які прадстаўляе токен, і ідэнтычнасць сертыфіката ўнутры яго. Яны задаюцца рознымі параметрамі, і іх лёгка зблытаць.

Кліент просіць файл, бо так кажа профіль

Профіль па змаўчанні чакае файл сертыфіката і файл прыватнага ключа або адзіны пакет PKCS#12. Калі гэтых уводаў няма, кліенту няма чаго загружаць, і ён паводзіць сябе амаль як пры адсутным файле, таму сімптом чытаецца як зламаны шлях, а не як адсутны механізм. Шлях PKCS#11 замяняе гэтыя ўводы, а не дапаўняе іх, таму профіль, які ўсё яшчэ ўказвае файл ключа, будзе працягваць выкарыстоўваць файл. Выдаліце ўводы файлаў свядома і дазвольце токену забяспечыць абедзве паловы.

Параметр пастаўшчыка ўказвае на бібліятэку прамежкавага праграмнага забеспячэння, а не на прыладу і не на сертыфікат. Ці можа спакаваны кліент загрузіць гэтую бібліятэку, залежыць ад таго, як ён быў сабраны, уключаючы неабавязковую падтрымку p11-kit, якую адны зборкі ўключаюць, а іншыя пакідаюць без увагі. Агульнае кіраўніцтва не можа сказаць, якая схема ў вашага пакета.

Серыялізаваная ідэнтычнасць — гэта іншая велічыня

Ідэнтычнасць сертыфіката — гэта доўгі серыялізаваны радок, які стварае працэс выяўлення, і ён не з’яўляецца шляхам да бібліятэкі, PIN-кодам токена або імем уліковага запісу VPN. Ён часта змяшчае сімвалы, якія трэба ўзяць у лапкі, а значэнне без лапак можа быць абрэзана або прачытана няправільна без яснай памылкі. Выкарыстоўвайце ўласны параметр кліента выяўленне ідэнтычнасці, каб пералічыць тое, што прадстаўляе токен, затым дакладна скапіруйце патрэбны запіс. Выбар першага аб’екта ў спісе — гэта шлях, якім прылада ў рэшце рэшт прадстаўляе не той сертыфікат.

Вынік выяўлення таксама адказвае на папярэдняе пытанне: ці бачны токен праз гэтага пастаўшчыка наогул. Калі ён нічога не пералічвае, праблема знаходзіцца вышэй за кліент VPN і належыць прамежкаваму праграмнаму забеспячэнню.

Працэс, які ўсталёўвае злучэнне, павінен дабрацца да токена

Аперацыя з токенам, якая працуе ў вашым сеансе працоўнага стала, нічога не даказвае пра сістэмную службу. Служба можа працаваць ад іншага карыстальніка, у іншай прасторы імёнаў мантавання, з шляхам да модуляў, які апускае бібліятэку пастаўшчыка, або без дазволу адкрыць вузел прылады. Вызначце, які працэс насамрэч утрымлівае злучэнне, і праверце з гэтага кантэксту.

Апрацоўка PIN заслугоўвае асобнага рашэння. Эталонная рэалізацыя прапануе кэш PIN і абаронены шлях аўтэнтыфікацыі, і абодва існуюць, каб аператар мог выбраць працоўны працэс замест таго, каб вынаходзіць яго. Не ператварайце патрабаванне без нагляду ў PIN адкрытым тэкстам у агульным профілі, бо гэта абменьвае абарону токена на зручнасць. Там, дзе токен забараняе экспарт ключа, подпіс адбываецца на прыладзе, і PIN — адзіны лакальны сакрэт. Стаўцеся да яго з належнай асцярогай.

Што токен не замяняе

Токен аўтэнтыфікуе кліент у межах разгорнутай палітыкі і не замяняе праверкі кліента на серверы. Паспяхова выбраны сертыфікат не дае дазволу прымаць нечаканы сертыфікат шлюза, і дзве праверкі абараняюць супрацьлеглыя кірункі.

Рэгістрацыя па-ранейшаму павінна адбывацца ў эмітэнта, і шлюз па-ранейшаму павінен аўтарызаваць ідэнтычнасць.

Для прыёмкі падзяліце этапы: пастаўшчык загружаецца, патрэбны сертыфікат знойдзены, прыватны ключ выкарыстоўваецца з лакальнай аўтарызацыяй, VPN аўтэнтыфікуецца, і аперацыя з рэсурсам паспяхова выконваецца. Спыніцеся на першым этапе, які не ўдаўся, замест таго каб перабіраць паролі і пераўсталёўваць крыптаграфічны стек.

Запісвайце версіі, прыналежнасць модуляў, выбраны публічны ідэнтыфікатар і ачышчаныя памылкі, а PIN-коды і пакеты ўліковых даных трымайце па-за гэтым запісам.