Защо OpenVPN продължава да иска файл с частен ключ при наличието на токен

Включвате токена, собственият инструмент на доставчика го вижда, а VPN клиентът все още иска файл с частен ключ. Тази подкана не е доказателство, че токенът не се поддържа. Обикновено тя означава, че профилът изобщо не е казал на клиента да използва токена, затова той се е върнал към входните данни за сертификат и ключ, които очаква по подразбиране.

Две отделни стойности трябва да са правилни, преди това връщане да спре: доставчикът, който предоставя токена, и идентичността на сертификата в него. Те се задават с различни опции и лесно се смесват.

Клиентът иска файл, защото профилът така нарежда

Профилът по подразбиране очаква файл със сертификат и файл с частен ключ или един пакет PKCS#12. Когато тези входни данни липсват, клиентът няма какво да зареди и се държи почти както при липсващ файл, поради което симптомът се чете като счупен път, а не като липсващ механизъм. Пътят PKCS#11 заменя тези входни данни, вместо да ги допълва, така че профил, който все още посочва файл с ключ, ще продължи да използва файла. Премахнете съзнателно файловите входни данни и оставете токена да осигури двете половини.

Опцията за доставчик посочва библиотека за междинен софтуер, а не устройство и не сертификат. Дали пакетиран клиент може да зареди тази библиотека, зависи от това как е бил изграден, включително незадължителната поддръжка на p11-kit, която някои изграждания включват, а други пропускат. Общо ръководство не може да ви каже каква подредба има вашият пакет.

Сериализираната идентичност е друга стойност

Идентичността на сертификата е дълъг сериализиран низ, създаден от процеса на откриване, и тя не е пътят до библиотеката, PIN кодът на токена или името на VPN акаунта. Често съдържа знаци, които изискват кавички, а стойност без кавички може да бъде отрязана или прочетена погрешно без ясна грешка. Използвайте собствената опция на клиента откриване на идентичност, за да изброите какво предоставя токенът, след което копирайте точно желания запис. Избирането на първия обект в списъка е начинът, по който устройство в крайна сметка представя грешния сертификат.

Резултатът от откриването отговаря и на по-ранен въпрос: дали токенът изобщо е видим през този доставчик. Ако не изброява нищо, проблемът е над VPN клиента и принадлежи на междинния софтуер.

Процесът, който осъществява връзката, трябва да достига до токена

Операция с токена, която работи в сесията ви на работния плот, не доказва нищо за системна услуга. Услугата може да работи като друг потребител, в друго пространство от имена за монтиране, с път до модулите, който пропуска библиотеката на доставчика, или без разрешение да отвори възела на устройството. Установете кой процес всъщност държи връзката и тествайте от този контекст.

Обработката на PIN заслужава отделно решение. Референтната реализация предлага кеш за PIN и защитен път за удостоверяване и двете съществуват, за да може операторът да избере работен процес, вместо да измисля такъв. Не превръщайте изискване без надзор в PIN с открит текст в споделен профил, защото това разменя защитата на токена срещу удобство. Когато токенът забранява износ на ключ, подписването става на устройството и PIN е единствената локална тайна. Отнасяйте се към него с грижата, която това предполага.

Какво токенът не заменя

Токенът удостоверява клиента съгласно внедрената политика и не заменя проверките на клиента към сървъра. Успешно избраният сертификат не е разрешение да се приеме неочакван сертификат на шлюза и двете проверки защитават противоположни посоки.

Записването все още трябва да се случи при издателя, а шлюзът все още трябва да упълномощи идентичността.

За приемане разделете етапите: доставчикът се зарежда, намира се желаният сертификат, частният ключ се използва с локално разрешение, VPN се удостоверява и операцията с ресурса успява. Спрете на първия етап, който се провали, вместо да преминавате през пароли и да преинсталирате криптографския стек.

Записвайте версии, собственост на модулите, избрания публичен идентификатор и почистени грешки, а PIN кодовете и пакетите с идентификационни данни оставете извън този запис.