Dull EAP yn gyntaf: pa hash cyfrinair y gall VPN ei ddefnyddio
Mae VPN yn gwirio'r gyfrinach, nid hash y we. Darllenwch y dull, yna gwiriwch beth sydd gan yr ystorfa cyn addo y bydd yr un cyfrineiriau'n parhau i weithio.
Mae gan lawer o dimau fewngofnod gwe sy'n gweithio a VPN sy'n gwrthod pob cyfrinair o'r un tabl. Mae'r rhaglen we yn cymharu hash a gyfrifodd ei hun, tra bo'r twnnel yn gofyn i'r cleient brofi ei fod yn meddu ar gyfrinach mewn ffordd y mae'n rhaid i'r gweinydd allu ei gwirio. Mae'r rhain yn ofynion gwahanol ar y deunydd a storiwyd. Yn y bwlch rhyngddynt y mae'r rhan fwyaf o'r prosiectau hyn yn stopio.
Darllenwch y dull, yna'r sgema
Nodwch pa brawf y mae'r dull a ddewiswyd yn ei ofyn cyn edrych ar unrhyw sgema. Mae angen deunydd ar ddull her-ac-ymateb y gall y gweinydd gyfrifo'r ymateb disgwyliedig ohono, sy'n golygu yn ymarferol y cyfrinair neu ffurf ddeilliadol gydnaws. Mae dull sy'n cario cyfrinair y tu mewn i dwnnel gwarchodedig angen y cyfrinair ei hun gan y gwiriedydd. Darllenwch ddogfennaeth y dull ar gyfer gofyniad y gwiriedydd yn hytrach nag ar gyfer ffurfweddiad y cleient, oherwydd gofynion y cleient yw'r rhan hawdd fel arfer.
Nid yw hash halen a gynhyrchwyd gan fframwaith gwe modern yn darparu'r un o'r ddau. Mae'n gwirio un gymhariaeth benodol ac ni ellir ei droi'n ôl i'r gyfrinach y daeth ohoni.
Ni all her-ac-ymateb ddefnyddio hash halen
Mae MSCHAPv2 yn gyfnewidfa her-ac-ymateb, felly ni fydd y gweinydd byth yn cael y cyfrinair ac ni all gymharu llinyn a storiwyd. Rhaid iddo ddeillio'r ymateb disgwyliedig o ddeunydd sydd eisoes ganddo, a dyna pam mae'r ffurfiau storio cydnaws mor gul. Mae gwerth bcrypt neu Argon2 â halen fesul defnyddiwr yn unffordd mewn modd sy'n diystyru'r gyfnewidfa'n llwyr. Mae'r tabl isod yn dechrau o'r ffurf storio yn hytrach nag o enw'r dull, oherwydd y ffurf storio sy'n penderfynu'r ateb.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Mae dogfennaeth ategyn SQL ar gyfer strongSwan yn diffinio sgema ei hun ar gyfer ffurfweddiad a chymwysterau, ac mae'r prosiect yn dal i farcio'r ategyn hwnnw'n arbrofol. Nid oes dim ynddi'n addasu i dabl defnyddwyr rhaglen nac yn dyfalu pa gynllun hasio a gynhyrchodd werth a storiwyd. Yr opsiynau realistig felly yw mudo i ystorfa y gall y porth ei defnyddio, neu wasanaeth dilysu o flaen yr ystorfa bresennol a all wneud y gyfnewidfa. Unrhyw beth arall yw cysylltydd â rhagdybiaeth gudd y tu mewn iddo.
Mae RADIUS yn symud y gwaith, nid y gofyniad
Mae dirprwyo EAP i weinydd RADIUS yn newid lle mae dilysu'n digwydd ac fel arfer yn gwella'r trywydd archwilio. Nid yw'n adfer cyfrinair o hash unffordd, felly mae angen deunydd cydnaws â'r dull y mae'n ei derfynu ar y gwasanaeth dilysu o hyd. Mae timau'n dod i wybod hyn ar ôl adeiladu'r llwybr RADIUS a chyfarfod â'r un wal yr ochr arall.
Lle y gall gweinydd RADIUS ddarllen cyfeirlyfr sy'n dal cymhwyster cydnaws, mae'r dyluniad yn gweithio ac mae'r porth VPN yn aros yn syml. Lle na all, yr ateb gonest yw newid cofrestru yn hytrach na chysylltydd arall. Mae darparu a dirymu'n perthyn i bwy bynnag sy'n berchen ar y hunaniaeth, felly mae tabl copïedig heb broses gysoni â chymorth yn ail gylch bywyd cymhwyster yn hytrach na mewngofnod sengl. Mae'n drifftio'r tro cyntaf y bydd rhywun yn ailosod cyfrinair mewn un man yn unig, ac mae'r drifft yn dawel nes bod cyfrif sy'n bodoli yn y ddau system yn ymddwyn yn wahanol ym mhob un.
Cyfyngwch y cyfrif sy'n darllen y cyfeirlyfr i'r darllen hwnnw'n unig, a'i gadw ar wahân i'r cyfrif y mae'r porth yn ei ddefnyddio ar gyfer ei ffurfweddiad ei hun. Mae cyfrif gweinyddol a rennir yn troi dyluniad darllen-yn-unig yn radiws effaith llawer ehangach.
Lle y dylai'r cyfrif fyw
Daw dwy bensaernïaeth i'r amlwg unwaith y bydd cwestiwn y deunydd wedi'i setlo. Gall y porth feddu ar ystorfa gymwysterau fach nad yw'n darllen ond hi, neu gall ddirprwyo i wasanaeth dilysu sy'n sefyll o flaen y cyfeirlyfr corfforaethol.
Mae'r gyntaf yn haws i resymu amdani ac yn waeth i'r defnyddiwr, sy'n gorffen ag ail gyfrinair i'w gynnal. Mae'r ail yn cadw un hunaniaeth ac yn ychwanegu dibyniaeth ar wasanaeth sydd bellach yn gorfod bod ar gael cyn i unrhyw un gysylltu. Nid yw'r naill na'r llall yn anghywir, ond dylid cofnodi'r dewis wrth ymyl ffurfweddiad y porth, oherwydd fel arall bydd y peiriannydd nesaf yn tybio mai'r llall a ddewiswyd. Beth bynnag a ddewiswch, y ddau orchymyn isod yw'r rhai sy'n dangos y cyflwr presennol cyn i chi ei newid.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsNid yw dilysu cyfrif yn setlo awdurdodi chwaith. Mae aelodaeth grŵp, cyflwr y ddyfais a chaniatâd rhwydwaith yn dal i fod angen mapio penodol ar ôl i'r defnyddiwr brofi'r hunaniaeth ofynnol. Mae cysylltiad sy'n dilysu'n berffaith ac yn awdurdodi dim yn ganlyniad polisi, nid yn fai yn y dull.