Mac VPN saio-hasiera ziurtagiriarekin: identitatea, gakoaren erabilera edo atebidearen konfiantza?
Hiru erabaki daude ziurtagiri bidezko saio-hasieraren atzean: zein identitate aukeratzen den, VPN osagaiak bere gakoa erabil dezakeen eta atebideari konfiantza ematen zaion.
Ziurtagirian oinarritutako VPN saio-hasierak Macari pasahitz bat baino zerbait estuagoa eskatzen dio: gako pribatu zehatz hau erabiltzeko, exekuzio-testuinguru honetan, identitatea atebide hari frogatzeko. Huts egiten duenean, mezuak normalean azken zer okertu zen baino ez du deskribatzen, eta hori gutxitan da kausa. Sistemak hiru erabakiak hartzen dituen ordenan zeharkatzeak diagnostikoa zintzo mantentzen du eta tokiko baimen arazo bat katearen baliozkotze hutsegite gisa hartzea eragozten du.
Zeharkatu saio-hasiera Macak jarraitzen duen ordenan
Lehenik bezeroak identitatea aukeratzen du: erabilgarria den gako pribatu batekin parekatutako ziurtagiria, onartutako biltegian edo kredentzial hornitzailean eskuragarri. Gero VPN osagaiak gako horrekin eragiketa kriptografikoa egitea eskatzen du, eta tokiko baimen-ereduak erantzuten du. Biak lortu ondoren soilik gertatzen da urruneko esku-uzketa, non Macak atebidea ebaluatzen duen eta atebideak bezeroaren froga ebaluatzen duen.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Irakurri taula goitik behera eta gelditu huts egiten duen lehen errenkadan. Hutsegite baten azpian dagoen guztia frogatu gabe dago, eta horregatik da «ziurtagiria ez da fidagarria» hain ohikoa eta hain fidagarritasun gutxiko ondorioa.
Zer estaltzen duen tokiko baimenak benetan
macOS-en gako-sortaren ereduan, babestutako elementuek eragiketaren araberako sarbide-arauak eta aplikazio fidagarrien zerrenda daramatzate. Gako pribatu batekin sinatzea eragiketa horietako bat da, eta arauak egiten duen exekutagarriari aplikatzen zaizkio, ez ziurtagiriari dokumentu gisa. Apple-en sarbide-kontrolaren erreferentziak ere muga bat marrazten du eredu honen eta iCloud gako-sortaren eta sarbide-taldeen antolamenduen artean, beraz bata bestearentzat idatzitako aholkua ez da bestearentzat baliozkoa.
Horren ondorioz bi gauza gertatzen dira. Ziurtagiri publiko bat zerrendan ikusgai egoteak ez du frogatzen VPNaren bigarren planoko osagaiak gako horretara irits daitekeenik. Eta aurrealdeko aplikazio bati emandako baimenak ez du ezer esaten aparteko laguntzaile edo sare-luzapen bati buruz, kode desberdinak baitira identitate desberdinekin.
Identifikatu benetako ezarpena eta haren kredentzial partekatzeko mekanismo onartua, bezero zahar batetik exekutagarri baten bidea kopiatu beharrean. Berretsi sistemak lehenengo zein identitate eskainiko duen:
security find-identity -v -p ssl-clientKodea irakurtzea: errSecInteractionNotAllowed
Egoera horrek Segurtasun Zerbitzariarekin onartu gabeko elkarreragina jakinarazten du, eta ezer ez du esaten ziurtagiri-kateei buruz. Irakurri berau sortu zuen eragiketarekin batera: gonbita erakutsi ezin duen testuinguru batek igorritako sinadura-eskaera horrela huts egingo du, gakoa eta ziurtagiria guztiz baliozkoak izan arren. Hasteko lekua erregistratu zuen eragiketa da, ez ziurtagiri biltegia. Konfiantza-anklajeetan egiten duzun edozein aldaketak errorea bere horretan utziko du.
Beraz, hartu kodea exekuzio-testuingurua eta baimena aztertzeko arrazoi gisa. Atebidearen CA fidagaitza dela frogatzeko ebidentzia gisa hartzeak arazoaren erdi okerreko aldera bidaltzen zaitu, eta han egiten duzun aldaketak ez dio erroriari batere eragingo.
Konpondu estu, eta ez zabal
Hasi konexioaren jabearen izen-emate edo inportazio argibideekin. Idatzi bezeroaren bertsioa, profilearen irismena, hautatutako identitatea eta lehen tokiko errore esanguratsua, lau datu horiek baitira euskarrirako eskualdaketa batek behar duena eta geroko konparazioa haien mende baitago. Kudeatutako profil edo hardwarean oinarritutako identitate batek administratzaileak edo hornitzaileak eskualdaketa konpondu behar izatea eska dezake, eta tokiko klikak ez du hori ordezkatzen.
Produktuak erabiltzailearen onespena espero duenean, berretsi zein osagai eskatzen ari den eta onartu sarbide hori soilik onartutako fluxuaren bidez. Osagaiak exekutatzen den testuinguruan gonbita altxatzeko modurik ez duenean, hornidurak saltzaileak dokumentatutako bidea jarraitu behar du, eta ez beste terminal-leiho batetik ateratako elkarrizketa-koadroa.
Aholku zaharretan bi aldaketa batera biltzen dira, eta biak dira zabalegiak. Aplikazio guztiei gako pribaturako sarbidea emateak tokiko gako-erabilera eskakizunaz askoz harago zabaltzen du, eta ziurtagiria Beti fidatu gisa jartzeak makinako guztiarentzako ziurtagiri ebaluazioa aldatzen du. Batak ere ez du adierazten «VPN ezarpen onartu hau, aurreikusitako identitate honekin».
Egiaztatu tokian bertan atebidea irakurri aurretik
Konponketa baten ondoren, egiaztatu tokiko eragiketa arrakastatsua dela, beste aldeko edozein erantzun interpretatu aurretik. Sinadurak orain funtzionatzen badu, geroagoko izen, kate edo bezero onarpenen ukapen bat emaitza berria da, ez errepikapena, eta beste jabe bat duen beste erabaki bati dagokio.
Eskualdaketa erabilgarri batek hiru erabakietatik zein huts egin zuen aipatzen du eta han gelditzen da. Ez du inoiz gako pribatua sartzen, eta ez ditu inoiz erlaziorik gabeko gako-sorta elementuak berrezartzen orri garbi batek lagunduko duen itxaropenez. Ezari itzazu bi ohitura horiek gorabeheraren aurretik eta ez bitartean, dena batera probatzeko tentazioa indartsuena denean. «Gako-sorta berreraiki dugu» dioen txartel batek ia ezer ez dio esaten hurrengo irakurleari jatorrizko hutsegiteaz.