Miks OpenVPN küsib endiselt privaatvõtme faili, kuigi token on olemas

Sisestate tokeni, tarnija enda tööriist näeb seda, ja VPN-klient küsib endiselt privaatvõtme faili. See viip ei ole tõestus, et tokenit ei toetata. Tavaliselt tähendab see, et profiil ei öelnud kliendile kunagi tokenit kasutada, mistõttu see langes tagasi sertifikaadi- ja võtmesisestustele, mida see vaikimisi ootab.

Kaks eraldi väärtust peavad olema õiged, enne kui see tagasilangemine lakkab: pakkuja, mis tokeni avab, ja selles oleva sertifikaadi identiteet. Neid antakse erinevate valikutega ja neid on lihtne segi ajada.

Klient küsib faili, sest profiil ütleb nii

Vaikeprofiil ootab sertifikaadifaili ja privaatvõtmefaili või ühte PKCS#12-paketti. Kui need sisendid puuduvad, ei ole kliendil midagi laadida ja see käitub peaaegu nagu puuduva faili puhul, mistõttu sümptomit loetakse katkise teena, mitte puuduva mehhanismina. PKCS#11 tee asendab need sisendid, mitte ei täienda neid, seega profiil, mis endiselt nimetab võtmefaili, kasutab faili edasi. Eemaldage failisisendid teadlikult ja laske tokenil mõlemad pooled anda.

Pakkuja valik nimetab vahetarkvara teeki, mitte seadet ja mitte sertifikaati. See, kas pakendatud klient suudab selle teegi laadida, sõltub sellest, kuidas see ehitati, sealhulgas valikulisest p11-kit-toest, mille mõned ehitused lubavad ja teised jätavad välja. Üldine õpetus ei saa teile öelda, milline lahendus teie paketil on.

Serialiseeritud identiteet on teine väärtus

Sertifikaadi identiteet on pikk serialiseeritud string, mille loob avastusprotsess, ja see ei ole teegi tee, tokeni PIN ega VPN-konto nimi. See sisaldab sageli märke, mis vajavad jutumärke, ja jutumärkideta väärtus võib ilma selge veata kärpida või valesti lugeda. Kasutage kliendi enda valikut identiteedi avastamine, et loetleda, mida token avab, ja seejärel kopeerige soovitud kirje täpselt. Nimekirja esimese objekti valimine on viis, kuidas seade lõpuks vale sertifikaadi esitab.

Avastuse väljund vastab ka varasemale küsimusele: kas token on selle pakkuja kaudu üldse nähtav. Kui see ei loetle midagi, on probleem VPN-kliendist kõrgemal ja kuulub vahetarkvarale.

Ühenduse loov protsess peab tokenini jõudma

Töölaua seansis töötav tokenioperatsioon ei tõesta süsteemiteenuse kohta midagi. Teenus võib töötada teise kasutajana, teises mount-nimeruumis, mooduliteega, mis jätab pakkuja teegi välja, või ilma loata seadmesõlme avada. Tehke kindlaks, milline protsess ühendust tegelikult hoiab, ja testige sellest kontekstist.

PIN-iga tegelemine väärib eraldi otsust. Viiteimplementatsioon pakub PIN-vahemälu ja kaitstud autentimistee ning mõlemad on olemas selleks, et operaator saaks töövoo valida, mitte selle välja mõelda. Ärge muutke järelevalveta nõuet lihttekstiliseks PIN-iks jagatud profiilis, sest see vahetab tokeni kaitse mugavuse vastu. Kui token keelab võtme eksportimise, toimub allkirjastamine seadmes ja PIN on ainus kohalik saladus. Käsitlege seda selle hoolikusega, mida see eeldab.

Mida token ei asenda

Token autendib kliendi juurutatud poliitika alusel ega asenda kliendi kontrolle serveri suhtes. Edukalt valitud sertifikaat ei ole luba võtta vastu ootamatut lüüsi sertifikaati ning need kaks kontrolli kaitsevad vastassuundi.

Registreerimine peab endiselt toimuma väljaandja juures ja lüüs peab endiselt identiteedi volitama.

Vastuvõtu jaoks eraldage etapid: pakkuja laaditakse, kavandatud sertifikaat leitakse, privaatvõtit kasutatakse kohaliku volitusega, VPN autendib ja ressursioperatsioon õnnestub. Peatuge esimesel etapil, mis ebaõnnestub, selle asemel et paroolides ringi käia ja krüptovirna uuesti paigaldada.

Registreerige versioonid, moodulite omand, valitud avalik identifikaator ja puhastatud vead ning jätke PIN-id ja volituspaketid sellest kirjest välja.