Πιστοποιητικό VPN Mac: γιατί ο επιλογέας ταυτότητας μένει κενός

Εγκατέστησες το πιστοποιητικό, εμφανίζεται στο Keychain Access με φιλικό όνομα και ο επιλογέας ταυτότητας του πελάτη VPN παραμένει κενός. Ο πελάτης δεν ψάχνει πιστοποιητικό. Ψάχνει ταυτότητα: ένα πιστοποιητικό συζευγμένο με το ιδιωτικό κλειδί που μπορεί να αποδείξει κατοχή, αποθηκευμένο εκεί όπου ο πελάτης επιτρέπεται να διαβάσει.

Αυτό που ζητά ο πελάτης είναι ταυτότητα

Το πλαίσιο ασφαλείας της Apple αντιμετωπίζει το πιστοποιητικό και την ταυτότητα ως διαφορετικά αντικείμενα. Το πιστοποιητικό είναι δημόσια δεδομένα. Η ταυτότητα είναι αυτό το πιστοποιητικό μαζί με το ιδιωτικό του κλειδί, και μόνο η ταυτότητα μπορεί να ολοκληρώσει μια πρόκληση. Ένα πιστοποιητικό έμπιστης CA, από την άλλη, επιτρέπει σε έναν πελάτη να αξιολογήσει έναν εκδότη· δεν καθιστά το μηχάνημα κάτοχο διαπιστευτηρίου πελάτη που έχει εκδοθεί.

Γι' αυτό, η εισαγωγή ενός αρχείου .cer δεν παράγει ποτέ ταυτότητα πελάτη που να χρησιμοποιείται. Το αρχείο μεταφέρει μόνο δημόσιο υλικό, και όσο κι αν το μετονομάσεις ή το εμπιστευτείς, δεν γίνεται ζεύγος κλειδιών.

Τρεις λόγοι για τους οποίους ο επιλογέας μένει κενός

Ο πρώτος είναι ένα απόν ιδιωτικό κλειδί, που σημαίνει ότι η διαδικασία εγγραφής ή εισαγωγής δεν παρέδωσε κανένα. Ο δεύτερος είναι ένας χώρος αποθήκευσης που ο πελάτης δεν συμβουλεύεται: ένα προφίλ σε επίπεδο χρήστη κοιτά στο Keychain του χρήστη και ένα στοιχείο τοποθετημένο σε χώρο συστήματος μπορεί να είναι αόρατο σε αυτό. Ο τρίτος είναι ασυμφωνία σκοπού ή πολιτικής, όπου το πιστοποιητικό υπάρχει αλλά δεν είναι έγκυρο για έλεγχο ταυτότητας πελάτη σύμφωνα με τους κανόνες της ανάπτυξης.

security find-identity -v -p ssl-client

Αυτό απαριθμεί τις ταυτότητες που το σύστημα θεωρεί έγκυρες για έλεγχο ταυτότητας πελάτη. Αν το πλήθος είναι μηδέν, το πρόβλημα βρίσκεται πιο πάνω από τον πελάτη VPN και καμία επεξεργασία προφίλ δεν θα το διορθώσει. Αν η ταυτότητα εμφανίζεται εδώ αλλά όχι στον πελάτη, η διαφορά είναι στον χώρο αποθήκευσης ή στο πεδίο εφαρμογής του πελάτη.

Πού ζει το ιδιωτικό κλειδί και ποιος μπορεί να το χρησιμοποιήσει

Όταν εισάγεις ταυτότητα μέσω του Keychain Access, ο διάλογος εισαγωγής προσφέρει Keychain προορισμού. Ποιος προορισμός είναι σωστός εξαρτάται από τον πελάτη και από το αν το προφίλ αφορά χρήστη ή συσκευή. Μια παλιά απάντηση που συνιστά το Keychain συστήματος δεν είναι καθολικός κανόνας, και η αντιγραφή στοιχείων μεταξύ χώρων αποθήκευσης δεν είναι επισκευή.

Το System Roots είναι συλλογή εμπιστοσύνης. Η τοποθέτηση πιστοποιητικού εκεί αλλάζει ποιους εκδότες εμπιστεύεται το σύστημα· δεν δημιουργεί ιδιωτικό κλειδί και δεν είναι χώρος αποθήκευσης ταυτοτήτων. Η μετακίνηση άσχετων πιστοποιητικών για να γεμίσει ένας επιλογέας είναι το είδος της διόρθωσης που αφήνει ένα μηχάνημα με μόνιμα διευρυμένο σύνολο εμπιστοσύνης.

Η πρόσβαση στο ιδιωτικό κλειδί είναι ξεχωριστός έλεγχος. Η παροχή άδειας σε κάθε εφαρμογή να χρησιμοποιεί το κλειδί λύνει το πρόβλημα επιλογής ενός πελάτη και δίνει την ίδια δυνατότητα σε όλα τα άλλα στο μηχάνημα. Χορήγησέ την στον πελάτη που τη χρειάζεται και έλεγξε αν το κλειδί υποστηρίζεται από υλικό ή είναι σημασμένο ως μη εξαγώγιμο· αν ναι, πρέπει να χρησιμοποιηθεί ο υποστηριζόμενος πάροχος αντί για εξαγμένο αντίγραφο.

Πώς το προφίλ δείχνει το διαπιστευτήριο

Σε διαχειριζόμενη εγγενή διαμόρφωση IKEv2, το προφίλ παραπέμπει στο ωφέλιμο φορτίο διαπιστευτηρίου μέσω του PayloadCertificateUUID. Η ταυτότητα στην οποία παραπέμπει και ο τρόπος με τον οποίο παρασχέθηκε είναι αυτά που μετρούν· η επεξεργασία ενός εμφανιζόμενου ονόματος στο προφίλ δεν διορθώνει μια παραπομπή που δείχνει σε λάθος ωφέλιμο φορτίο ή σε ένα που δεν παρέδωσε ποτέ κλειδί.

Ένας πάροχος τρίτου μέρους μπορεί να χρησιμοποιεί εντελώς διαφορετικό μηχανισμό επιλογής, όπως δικό του χώρο αποθήκευσης ή προτροπή συστήματος. Διάβασε την τεκμηρίωση εκείνου του παρόχου αντί να μεταφέρεις υποθέσεις εγγενούς προφίλ, και επαλήθευσε την παραπομπή στο προφίλ που είναι πράγματι εγκατεστημένο και όχι σε αυτό στο πρόχειρο της κονσόλας διαχείρισης.

Η επιλογή και η αποδοχή είναι ξεχωριστά ορόσημα

Ένας γεμάτος επιλογέας σημαίνει ότι ο πελάτης μπορεί να βρει και να χρησιμοποιήσει ταυτότητα. Δεν λέει τίποτα για το αν η πύλη θα την αποδεχτεί. Ο διακομιστής ελέγχει ακόμη τον εκδότη, το παράθυρο εγκυρότητας, την κατάσταση ανάκλησης και την αντιστοίχιση από αυτό το διαπιστευτήριο σε λογαριασμό.

Δοκίμασε και τα δύο στάδια ρητά, με αυτή τη σειρά. Επιβεβαίωσε ότι η ταυτότητα προσφέρεται, συνδέσου και μετά ζήτησε από τον ιδιοκτήτη της πύλης να επιβεβαιώσει ποιο διαπιστευτήριο παρουσιάστηκε και ποιος κανόνας αντιστοίχισης το κατανάλωσε. Αν ο πελάτης προσφέρει ταυτότητα και ο διακομιστής την απορρίπτει, η υπόλοιπη δουλειά είναι στην πλευρά του διακομιστή. Η επανεγκατάσταση του πιστοποιητικού στο Mac δεν θα αλλάξει αυτό το αποτέλεσμα, όσες φορές κι αν επαναληφθεί.