Mac VPN ziurtagiria: zergatik dagoen identitate-hautatzailea hutsik
Bezeroak ziurtagiria behar du bere gako pribatuarekin, irakurtzen duen biltegian. Egiaztatu lehenengo identitatea, eta gero ea atariak onartzen duen.
Ziurtagiria instalatu duzu, Keychain Access-en izen adierazgarri batekin agertzen da, eta VPN bezeroaren identitate-hautatzailea hutsik dago oraindik. Bezeroa ez dago ziurtagiri baten bila. Identitate baten bila dago: ziurtagiri bat gako pribatuarekin lotuta, jabetza frogatu dezakeena, bezeroak irakurtzeko baimena duen lekuan gordeta.
Bezeroak eskatzen duena identitatea da
Apple-ren segurtasun-esparruak objektu desberdin gisa tratatzen ditu ziurtagiria eta identitatea. Ziurtagiria datu publikoa da. Identitatea ziurtagiri hori gehi bere gako pribatua da, eta identitateak soilik osa dezake erronka bat. CA ziurtagiri fidagarri batek, berriz, bezeroari igorlea ebaluatzeko aukera ematen dio; ez du makina igorritako bezero-kredentzialaren titular bihurtzen.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Horregatik, .cer fitxategi bat inportatzeak ez du inoiz bezero-identitate erabilgarririk sortzen. Fitxategiak material publikoa soilik darama, eta izena aldatzeak edo fidatzeak ez du gako-pare bihurtzen.
Hiru arrazoi hautatzailea hutsik egoteko
Lehena gako pribatu bat falta da, hau da, izen-emate edo inportazio prozesuak ez zuen bat eman. Bigarrena bezeroak kontsultatzen ez duen biltegi bat da: erabiltzaile-mailako profilak erabiltzailearen gako-biltegian begiratzen du, eta sistemen biltegian jarritako elementua ikusezina izan daiteke harentzat. Hirugarrena helburu edo politika desegokitasuna da, ziurtagiria existitzen baita baina ez baita baliozkoa bezero-autentifikaziorako hedapenaren arauen arabera.
security find-identity -v -p ssl-clientHonek sistemak bezero-autentifikaziorako baliozkotzat jotzen dituen identitateak zerrendatzen ditu. Kopurua zero bada, arazoa VPN bezeroaren gainetik dago eta profileko edozein aldaketak ez du konponduko. Identitatea hemen agertzen bada baina bezeroan ez, bezeroaren biltegia edo irismena da aldea.
Non dagoen gako pribatua, eta nork erabil dezakeen
Identitatea Keychain Access bidez inportatzen duzunean, inportazio elkarrizketak helmugako gako-biltegi bat eskaintzen du. Zein helmuga den zuzena bezeroaren eta profilaren erabiltzaile edo gailu irismenaren araberakoa da. Sistema-gako-biltegia gomendatzen duen erantzun zaharra ez da arau unibertsala, eta biltegien artean elementuak kopiatzea ez da konponketa.
System Roots fidatze-bilduma bat da. Ziurtagiria han jartzeak sistemak zein igorle fidatzen dituen aldatzen du; ez du gako pribaturik sortzen, eta ez da identitate-biltegi bat. Hautatzaile bat betetzeko erlazionatutako ziurtagiriak mugitzea makina bat fidatze-multzo betiko zabalduarekin uzten duen konponketa mota da.
Gako pribaturako sarbidea kontrol bereizia da. Aplikazio guztiei gakoa erabiltzeko baimena ematea bezero baten hautapen-arazoa konpontzen du eta gaitasun bera ematen dio makinako gainerako guztiari. Eman behar duen bezeroari, eta egiaztatu gakoa hardwarez babestuta dagoen edo esportaezina markatuta dagoen; hala bada, onartutako hornitzailea erabili behar da, esportatutako kopia bat erabili beharrean.
Nola erakusten duen profilek kredentziala
Kudeatutako IKEv2 konfigurazio natiboan, profilek bere kredentzial-karga PayloadCertificateUUID bidez erreferentziatzen du. Erreferentziatutako identitatea eta hornitzeko modua dira garrantzitsuak; profilean bistaratze-izen bat aldatzeak ez du konpontzen karga oker batera edo inoiz gakorik eman ez zuen batera zuzentzen den erreferentzia.
Hirugarren hornitzaile batek erabateko beste hautapen-mekanismo bat erabil dezake, hala nola bere biltegia edo sistema-gonbita bat. Irakurri hornitzaile horren dokumentazioa, profil natiboaren hipotesiak transferitu beharrean, eta egiaztatu erreferentzia benetan instalatuta dagoen profilean, eta ez kudeaketa-kontsolaren zirriborroan.
Hautapena eta onarpena mugarri bereiziak dira
Hautatzaile beteak bezeroak identitate bat aurkitu eta erabil dezakeela esan nahi du. Ez du ezer esaten atariak onartuko duen ala ez. Zerbitzariak oraindik egiaztatzen ditu igorlea, baliozkotasun-leihoa, balioranzketa-egoera eta kredentzial horretatik kontu baterako mapaketa.
Probatu bi etapak modu esplizituan, hurrenkera horretan. Egiaztatu identitatea eskaintzen dela, konektatu, eta gero eskatu atariaren jabeak egiaztatzea zein kredentzial aurkeztu zen eta zein mapaketa-arau kontsumitu zuen. Bezeroak identitatea eskaintzen badu eta zerbitzariak arbuiatzen badu, gainerako lana zerbitzariaren aldean dago. Ziurtagiria Mac-en berriro instalatzeak ez du emaitza hori aldatuko, zenbat aldiz errepikatu ere.