OpenConnect csd-wrapper: ikuskatu script saioa hasi aurretik

Profil bati --csd-wrapper gehitzeak script lokal bat ematen dio saioa hastean exekutatzen duen deabru bati, beraz, zure aurrean dagoen erabakia kodea berrikustea da, ez lehentasun etengailu bat. Aukera existitzen da pasabidearen ostalari-egiaztapen osagaia ordeztu ahal izateko, eta zuk ematen duzun script baterako bidea hartzen du. Beheko guztiak suposatzen du hedapenaren jabeak jada esan duela zein jarrera-egiaztapen behar den; atal hori oraindik irekita badago, konpondu lehenengo. Gidak lau urrats ditu: huts egin duen etapa kokatzea, script-a irakurtzea, exekutatzen den identitatea aukeratzea eta emaitza frogatzea.

Urratsa 1: Kokatu huts egin duen etapa

Bezeroaren azken mezua cookie bati buruzkoa izan ohi da, eta hori kate baten amaiera da, ez hasiera. HTTPS saio-hasiera, zerbitzariaren ziurtagiriaren egiaztapena, autentifikazio-trukea eta jarrera-osagai bat mezu horren aurretik daude guztiak.

Erregistratu erabiltzen ari den bertsioa eta saio-hasierako helbidea, eta errepikatu saiakera zure terminalean bertan utzitako irteera zehatzarekin. Lehen errorea irakurri, berriro saiakera bat ez dena, ez transkripzioaren azken lerroa. Erregistroa ebaluazio-osagai bat izendatu aurretik gelditzen bada, orduan bilgarria ez da oraindik zure arazoa. Une horretan gehitzeak geroago defendatu beharko duzun azalera zabaltzen du soilik.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Eduki transkripzioa lokalean, cookieak eta autentifikazio-erantzunak sarbide-materiala baitira. Txat hari batean itsatsitako arrasto bat kredentzialen ihesa da, ebaluazio-urratsa kaltegabea dirudien arren. Partekatu errorearen testua eta fluxuan agertu zen puntua, inoiz ez karga erabilgarria.

Urratsa 2: Irakurri script-a profil batera sartu aurretik

Bilgarri bat berrikusi duzun berrikuspena bezain fidagarria da soilik, beraz, finkatu berrikuspen hori eta gorde haren hash onarpen-oharraren ondoan. Beheko bi komanduek hatz-marka bat eta sintaxi-egiaztapen merkea ematen dizkizute lerro bat irakurri aurretik. Hurrengo pertsonari erreferentzia finko bat ere ematen diote, eta hori garrantzitsua da fitxategia pakete-kudeaketatik kanpo bizi denean. Komanduetako batek ere ez du esaten script-ak zer egiten duen, beraz, exekutatu eta jarraitu irakurtzen.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Irakurri fitxategi osoa buruan lau galdera dituzula: HTTP dei irtenak egiten ditu, kredentzial-fitxategiak edo ingurune-aldagaiak irakurtzen ditu, aldi baterako direktorio batetik kanpo idazten du, eta adarren batek jarrera gainditua jakinarazten du ezer neurtu gabe. Azken eredu hori politikaren ingurubidea da, erantsitako erregistro-lerro batekin. Kopiatutako bilgarriek kontrol sinesgarri baten atzean sartu ohi dute. Script-ak gailua ondo dagoela erabakitzen badu gailuari begiratu aurretik, gelditu hor.

Egiaztatu karga bilduak ere, goiburu irakurgarri batek ez baitu ezer frogatzen fitxategiaren gainerakoari buruz. Foroko hari batetik script bat deskargatzeak ez du fidagarri egiten, bere izenak ostalari-egiaztapen osagai erreal bat islatzen duelako soilik. Idatzi nork instalatu zuen, nondik etorri zen eta nola eguneratuko den.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Urratsa 3: Aukeratu bilgarria exekutatzen den identitatea

--csd-user-k pribilegioak jaisten ditu CSD, TNCC edo HIP programa exekutatzen den bitartean. Kontu hori exekuzio-lokalaren antolamenduaren parte da, ez pasabidera bidaltzen den erabiltzaile-izena.

Eman bilgarrari kontu dedikatu bat shell interaktiborik gabe, sudo eskubiderik gabe eta behar ez dituen talde-kidetasunik gabe. Eman irakurketa-sarbidea script-ari eta ikuskatzen dituen fitxategi zehatzei, eta gero probatu pribilegioen jaitsiera VPN profila ukitu aurretik. Arazoa hemen aurkitzea merkeagoa da bezeroaren barruan aurkitzea baino.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Pribilegioak jaisteak script txar batek eragin dezakeen kaltea mugatzen du. Ez du kodea berrikusten, ez du txostena egiazkoa egiten, ezta pasabidearen administratzaileak inplementazio hau gailu-politika betetzat onartzen duenik frogatzen.

Urratsa 4: Eutsi aldaketari itzulgarri

Egin profilaren babes-kopia bat editatu aurretik, eta eduki bilgarria bertsio-kontrolpean, itzultzeak hash ezagun bat berrezar dezan, kopia bat bilatu beharrean. Idatzi script-aren bidea, hash-a, exekuzio-erabiltzailea eta onarpena eman duena leku bakarrean.

Itzultzeko, kendu aukera, berrabiarazi bezeroa eta egiaztatu jatorrizko errorea itzultzen dela. Pasabideak itzultzearen ondoren saio-hasiera ukatzen jarraitzen badu, beste zerbait ere aldatu da, eta desberdintasun hori aurkitzea bilgarriarekin berriro saiatu aurretik dator. Eduki aurreko kopia aldaketa-leiho osoan zehar, eta horrek talde gehienentzat hurrengo mantenimendu-tartea igaro arte esan nahi du.

Hedapen arrakastatsu baten ondoren, egiaztatu bi gauza, bat ez: tunela altxatzen da, eta jarrera-egiaztapenean huts egin beharko lukeen gailua oraindik ukatzen da. Denontzat funtzionatzen duen konexio bat ez da ebaluazioak zure aldaketari eusteko froga.

Bigarren arazoa sortzen duten lasterbideak

Ez utzi laguntzaileari egoera egokia jakinarazten beharrezko egiaztapenak exekutatu gabe, eta ez gainidatzi plataformaren identitatea beste sistema eragile batekin bat etortzeko. Beste plataforma bat aldarrikatzea ez da gailu errealak politika betetzen duen froga. Etorkizuneko saio-hasiera bakoitzean gezurra esaten duen bezero batekin uzten zaitu.

Zerbitzariaren egiaztapena desgaitzeak, cookie zaharkitu bat berriz erreproduzitzeak eta berrikusi gabeko script-ak pilatzeak huts egite ikusgai bat ikusezin baten truke jartzen dute guztiek. Instalatutako bezeroak onartutako fluxua osatu ezin badu, eskatu onartutako alternatiba bat, duzuna okertu beharrean.

OpenConnect eskuliburuak --csd-wrapper eta --csd-user bereiz dokumentatzen ditu, eta hori da garrantzitsua den arrastoa: script-a eta identitatea bi erabaki dira. Berrikusi bereiz eta idatzi biak. Orduan saio-hasierako gonbidapena kodea itsatsita konpontzen duzun misterioa izateari uzten dio.