Lehenik EAP metodoa: zein pasahitz-hash erabil dezakeen VPN batek
VPN batek sekretua egiaztatzen du, ez web hasha. Irakurri metodoa eta, ondoren, egiaztatu biltegiak zer gordetzen duen pasahitz berberek lanean jarraituko dutela agindu aurretik.
Talde askok funtzionatzen duen web saio-hasiera dute eta taula beretik datorren pasahitz oro ukatzen duen VPN bat. Web aplikazioak berak kalkulatutako hash bat alderatzen du, eta tuneletik bezeroari sekretu baten jabetza frogatzeko eskatzen dio, zerbitzariak egiaztatu ahal izan dezan. Biltegiratutako materialarekiko eskakizun ezberdinak dira. Bien arteko hutsunean geratzen dira proiektu horietako gehienak.
Irakurri metodoa, gero eskema
Idatzi aukeratutako metodoak eskatzen duen froga, edozein eskema begiratu aurretik. Erronka-erantzun metodo batek zerbitzariak espero den erantzuna kalkulatu ahal izateko materiala behar du, eta praktikan horrek pasahitza edo eratorritako forma bateragarri bat esan nahi du. Pasahitza tunel babestu baten barruan daraman metodoak pasahitza bera behar du egiaztatzailean. Irakurri metodoaren dokumentazioa egiaztatzailearen eskakizunagatik, ez bezeroaren konfigurazioagatik, bezeroaren eskakizunak zati erraza izan ohi baitira.
Web esparru moderno batek sortutako hash gazituak ez du bata ez bestea ematen. Konparazio zehatz bat egiaztatzen du eta ezin da atzera itzuli sortu zen sekretura.
Erronka-erantzunak ezin du hash gaziturik erabili
MSCHAPv2 erronka-erantzun truke bat da, beraz zerbitzariak ez du inoiz pasahitza jasotzen eta ezin du biltegiratutako kate bat alderatu. Jadanik duen materialetik eratorri behar du espero den erantzuna, eta horregatik dira hain estu forma biltegiratu bateragarriak. Erabiltzaileko gatz bat duen bcrypt edo Argon2 balio bat norabide bakarrekoa da trukea erabat baztertzen duen moduan. Beheko taula biltegiratze forman hasten da, ez metodoaren izenean, biltegiratze forma baita erantzuna erabakitzen duena.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
SQL pluginaren dokumentazioak strongSwanentzat bere eskema propioa definitzen du konfiguraziorako eta kredentzialetarako, eta proiektuak esperimentaltzat markatzen du oraindik plugin hori. Ezer ez da aplikazio baten erabiltzaile-taulari egokitzen, ezta balio biltegiratu bat zein hash eskemak sortu zuen asmatzen ere. Aukera errealistak, beraz, gatewayak erabil dezakeen biltegi batera migratzea dira, edo lehendik dagoen biltegiaren aurrean trukea egin dezakeen autentifikazio zerbitzu bat. Gainerako guztia barruan ezkutatutako suposizio bat duen konektore bat da.
RADIUSek lana mugitzen du, ez eskakizuna
EAP RADIUS zerbitzari bati delegatzeak egiaztapena non gertatzen den aldatzen du eta normalean auditoretza arrastoa hobetzen du. Ez du pasahitzik berreskuratzen norabide bakarreko hash batetik, beraz autentifikazio zerbitzuak amaieratzen duen metodoarekin bateragarria den materiala behar du oraindik. Taldeek RADIUS bidea eraiki eta beste muturrean horma berbera topatu ondoren jakiten dute.
RADIUS zerbitzariak kredentzial bateragarria duen direktorio bat irakur dezakeen tokian, diseinuak funtzionatzen du eta VPN gatewaya sinplea izaten jarraitzen du. Irakurri ezin duen tokian, erantzun zintzoa alta-aldaketa bat da, ez beste konektore bat. Hornikuntza eta baliogabetzea identitatea duenari dagokio, beraz kopia egindako taula bat sinkronizazio prozesu onartu gabe bigarren kredentzial bizitza-ziklo bat da, ez saio-hasiera bakarra. Lehenengo aldiz desbideratzen da norbaitek pasahitza leku bakarrean berrezartzen duenean, eta desbideratzea isila da bi sistemetan dagoen kontu bat bakoitzean modu ezberdinean portatu arte.
Mugatu direktorioa irakurtzen duen kontua irakurketa horretara, eta eduki ezazu gatewayak bere konfiguraziorako erabiltzen duen kontutik bereizita. Partekatutako administrazio kontu batek irakurketa-soileko diseinu bat inpaktu erradio askoz zabalago bihurtzen du.
Non bizi behar du kontuak
Materialaren kontua argituta, bi arkitektura geratzen dira. Gatewayak berak bakarrik irakurtzen duen kredentzial biltegi txiki bat izan dezake, edo enpresa direktorioaren aurrean dagoen autentifikazio zerbitzu bat delegatu dezake.
Lehenengoa errazagoa da arrazoitzeko eta okerragoa erabiltzailearentzat, mantendu beharreko bigarren pasahitz batekin geratzen baita. Bigarrenak identitate bakarra mantentzen du eta orain inor konektatu aurretik martxan egon behar duen zerbitzu baten menpekotasuna gehitzen du. Bat ere ez da okerra, baina aukera gatewayaren konfigurazioaren ondoan erregistratu beharko litzateke, bestela hurrengo ingeniariak bestea aukeratu dela suposatuko baitu. Edozer aukeratu, beheko bi komandoak egungo egoera aldatu aurretik erakusten dutenak dira.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsKontuaren autentifikazioak ez du baimena ere konpontzen. Taldeko partaidetzak, gailuaren egoerak eta sare baimenak esleipen esplizitua behar dute oraindik erabiltzaileak eskatutako identitatea frogatu ondoren. Primeran autentifikatzen den eta ezer baimetzen ez duen konexio bat politika baten emaitza da, ez metodoaren akats bat.