Γιατί το OpenVPN εξακολουθεί να ζητά αρχείο ιδιωτικού κλειδιού όταν υπάρχει token

Συνδέετε το token, το εργαλείο του ίδιου του παρόχου το βλέπει, και ο πελάτης VPN εξακολουθεί να ζητά αρχείο ιδιωτικού κλειδιού. Αυτή η προτροπή δεν αποδεικνύει ότι το token δεν υποστηρίζεται. Συνήθως σημαίνει ότι το προφίλ δεν είπε ποτέ στον πελάτη να χρησιμοποιήσει το token, οπότε επέστρεψε στις εισόδους πιστοποιητικού και κλειδιού που περιμένει εξ ορισμού.

Δύο ξεχωριστές τιμές πρέπει να είναι σωστές πριν σταματήσει αυτή η υποχώρηση: ο πάροχος που εκθέτει το token και η ταυτότητα του πιστοποιητικού μέσα σε αυτό. Παρέχονται από διαφορετικές επιλογές και συγχέονται εύκολα.

Ο πελάτης ζητά αρχείο επειδή το προφίλ το ορίζει

Ένα προεπιλεγμένο προφίλ περιμένει αρχείο πιστοποιητικού και αρχείο ιδιωτικού κλειδιού ή ένα μόνο πακέτο PKCS#12. Όταν λείπουν αυτές οι είσοδοι, ο πελάτης δεν έχει τι να φορτώσει και συμπεριφέρεται σχεδόν όπως με ένα αρχείο που λείπει, γι’ αυτό το σύμπτωμα διαβάζεται ως σπασμένη διαδρομή και όχι ως μηχανισμός που λείπει. Η διαδρομή PKCS#11 αντικαθιστά αυτές τις εισόδους αντί να τις συμπληρώνει, οπότε ένα προφίλ που εξακολουθεί να ονομάζει αρχείο κλειδιού θα συνεχίσει να χρησιμοποιεί το αρχείο. Αφαιρέστε σκόπιμα τις εισόδους αρχείων και αφήστε το token να παρέχει και τα δύο μισά.

Η επιλογή παρόχου ονομάζει βιβλιοθήκη ενδιάμεσου λογισμικού, όχι συσκευή και όχι πιστοποιητικό. Το αν ένας πακεταρισμένος πελάτης μπορεί να φορτώσει αυτή τη βιβλιοθήκη εξαρτάται από το πώς χτίστηκε, συμπεριλαμβανομένης της προαιρετικής υποστήριξης p11-kit που μερικές εκδόσεις ενεργοποιούν και άλλες παραλείπουν. Ένας γενικός οδηγός δεν μπορεί να σας πει ποια διάταξη έχει το πακέτο σας.

Η σειριοποιημένη ταυτότητα είναι διαφορετική τιμή

Η ταυτότητα του πιστοποιητικού είναι ένα μακρύ σειριοποιημένο αλφαριθμητικό που παράγει η διαδικασία ανακάλυψης, και δεν είναι η διαδρομή της βιβλιοθήκης, το PIN του token ή το όνομα του λογαριασμού VPN. Συχνά περιέχει χαρακτήρες που χρειάζονται εισαγωγικά, και μια τιμή χωρίς εισαγωγικά μπορεί να κοπεί ή να διαβαστεί λάθος χωρίς σαφές σφάλμα. Χρησιμοποιήστε την επιλογή ανακάλυψη ταυτότητας του ίδιου του πελάτη για να απαριθμήσετε τι εκθέτει το token και μετά αντιγράψτε ακριβώς την επιθυμητή καταχώριση. Η επιλογή του πρώτου αντικειμένου στη λίστα είναι ο τρόπος με τον οποίο μια συσκευή καταλήγει να παρουσιάζει το λάθος πιστοποιητικό.

Η έξοδος της ανακάλυψης απαντά και σε ένα προηγούμενο ερώτημα: αν το token είναι καθόλου ορατό μέσω αυτού του παρόχου. Αν δεν απαριθμεί τίποτα, το πρόβλημα βρίσκεται πιο πάνω από τον πελάτη VPN και ανήκει στο ενδιάμεσο λογισμικό.

Η διεργασία που συνδέεται πρέπει να φτάνει στο token

Μια λειτουργία token που λειτουργεί στη συνεδρία της επιφάνειας εργασίας σας δεν αποδεικνύει τίποτα για μια υπηρεσία συστήματος. Η υπηρεσία μπορεί να εκτελείται ως άλλος χρήστης, σε άλλο χώρο ονομάτων προσάρτησης, με διαδρομή αρθρωμάτων που παραλείπει τη βιβλιοθήκη του παρόχου ή χωρίς άδεια να ανοίξει τον κόμβο της συσκευής. Προσδιορίστε ποια διεργασία κρατά στην πραγματικότητα τη σύνδεση και δοκιμάστε από αυτό το περιβάλλον.

Ο χειρισμός του PIN αξίζει δική του απόφαση. Η υλοποίηση αναφοράς προσφέρει κρυφή μνήμη PIN και προστατευμένη διαδρομή ελέγχου ταυτότητας, και τα δύο υπάρχουν ώστε ένας χειριστής να επιλέξει ροή εργασίας αντί να την εφεύρει. Μην μετατρέπετε μια απαίτηση χωρίς επίβλεψη σε PIN σε απλό κείμενο μέσα σε κοινόχρηστο προφίλ, γιατί αυτό ανταλλάσσει την προστασία του token με ευκολία. Όπου το token απαγορεύει την εξαγωγή κλειδιού, η υπογραφή γίνεται στη συσκευή και το PIN είναι το μόνο τοπικό μυστικό. Χειριστείτε το με τη φροντίδα που αυτό συνεπάγεται.

Τι δεν αντικαθιστά το token

Το token ελέγχει την ταυτότητα του πελάτη στο πλαίσιο της αναπτυγμένης πολιτικής και δεν αντικαθιστά τους ελέγχους του πελάτη στον διακομιστή. Ένα πιστοποιητικό που επιλέχθηκε με επιτυχία δεν είναι άδεια αποδοχής ενός απρόσμενου πιστοποιητικού πύλης, και οι δύο επαληθεύσεις προστατεύουν αντίθετες κατευθύνσεις.

Η εγγραφή πρέπει ακόμη να γίνει στον εκδότη, και η πύλη πρέπει ακόμη να εξουσιοδοτήσει την ταυτότητα.

Για την αποδοχή, διαχωρίστε τα στάδια: ο πάροχος φορτώνεται, το επιθυμητό πιστοποιητικό βρίσκεται, το ιδιωτικό κλειδί χρησιμοποιείται με τοπική εξουσιοδότηση, το VPN ελέγχει την ταυτότητα και η λειτουργία στον πόρο πετυχαίνει. Σταματήστε στο πρώτο στάδιο που αποτυγχάνει αντί να περιστρέφετε κωδικούς πρόσβασης και να επανεγκαθιστάτε τη στοίβα κρυπτογράφησης.

Καταγράψτε εκδόσεις, ιδιοκτησία αρθρωμάτων, το επιλεγμένο δημόσιο αναγνωριστικό και καθαρισμένα σφάλματα, και κρατήστε τα PIN και τα πακέτα διαπιστευτηρίων έξω από αυτή την καταγραφή.