Nola bihurtzen du OpenConnect saio-hasierako cookie bat tunel?

OpenConneck bi truke bereizi lotzen ditu bizitza laburreko balio bakar batekin: web saio-hasiera eta VPN tunela. Lehen trukea HTTPS arrunta da: kredentzialak, SAML joan-etorri bat edo token bat atebidera joaten dira, eta erantzunak autentifikazio cookie bat dakar. Bigarren trukeak cookie hori atebide berari aurkezten dio web fasea jadanik gertatu dela frogatzeko, eta orduan soilik igotzen da tunela.

Saio-hasieran ez da tunelari buruz ezer adosten. Hori da ulertzea merezi duen zatia, script akats gehienek cookiea gordetzeko pasahitza edo trafikoa babesten duen giltza dela uste dutelako, benetan atebide jakin bateko saioko eramale-txartela denean.

Zer trukatzen duten bezeroak eta atebideak, hurrenez hurren

Autentifikazio fasea webgune babestu arrunt baten antzekoa da. OpenConneck erabiltzailearen kredentzialak bidaltzen ditu, edo atebidearen birbideratzea jarraitzen du identitate hornitzaile batera, eta atebideak autentifikazio cookiea txertatzen duen dokumentu batekin erantzuten du. AnyConnect protokoloan balio hori cookie goialdeburu batean joaten da hurrengo eskaeretan, normalean webvpn moduko izen batekin, eta eskuliburuak saioa aurrera daraman kredentzialtzat hartzen du.

Bigarren fasea atebidearen VPN amaierako punturako CONNECT eskaera bat da, cookie hori erantsita. Atebideak egiaztatu egiten du, helbide bat esleitzen du, eta bezeroak CSTP abiarazten du TLS gainean, DTLS aukera gisa datu-bide azkarragoa izanik saioa existitzen denean. Une honetan soilik ezartzen dira tunelaren parametroak, ibilbideak, DNS ezarpenak eta saioaren trafiko giltzak. Cookieak atean zehar sartu zuen bezeroa; ez zuen ezer zifratu.

Segida honek azaltzen du zergatik dagoen openconnect --authenticate. Exekutatu eta web fasea egiten du, shell aldagaien bloke txiki bat inprimatzen du, hala nola COOKIE, HOST, CONNECT_URL eta FINGERPRINT, eta gero irteten da inolako tunel eraiki aurretik. Ondoren script bilgarri batek benetako konexioa has dezake balio horiekin, eta horixe da interfazerik gabeko edo bi edukiontziko ezarpen batek behar duen banaketa.

Cookiea saioko eramalea da, ez giltza

Balioa web aplikazio bateko saio identifikatzaile bat bezala tratatu. Bizitzan zehar eusten duenak atebideari saio horrek duen eskubideko tunela eskatu ahal dio, beraz bere sekretutasuna garrantzitsua da. Baina kopiatzeak ez du trafikoa agerian uzten, tunelaren konfidentzialtasuna TLS esku-ematetik eta eratorritako giltzetatik baitator, ez cookie kateatik.

Ez da baimen iraunkorra ere. Atebideak eta identitate hornitzaileak erabakitzen dute zenbat bizi den saioa, eta saioa hasita duen orria erakusten duen nabigatzaileak ez du ezer esaten tunel saioa oraindik baliozkoa den ala ez. Iraungitzearen ondoren berriz konektatzeak web fasea errepikatzea eta cookie berri bat sortzea esan nahi du, eta horixe da berrautentifikazioaren zentzua, ez ingeniaritzaz saihestu beharreko eragozpena.

Ez tratatu cookie bat beste kredentzial batzuen ordezko unibertsaltzat. SAML baieztapen bat, nabigatzaileko pasahitz bat eta beste zerbitzu batek emandako cookie bat objektu desberdinak dira, entzule desberdinekin, eta bata bestearen eremuan itsasteak normalean huts egiten du atebidean edo, okerrago, konfiantza muga okerraren aurka arrakasta lortzen du.

Cookiea kopiarik utzi gabe pasatzea

Linuxen eskualdaketa mekanikorik seguruena sarrera estandarra da. --cookie-on-stdin balioa stdin-tik irakurtzen du, beraz cookiea ez da inoiz prozesuaren argumentu zerrendan agertzen, non edozein erabiltzaile lokalek ps bidez irakur dezakeen. Prozesu batean autentifikatu eta bestean tunela elikatzen duen hodiak balioa hodi batean mantentzen du, ez fitxategi edo ingurune aldagai batean.

Argumentuak eta ingurune aldagaiak ahulagoak dira arrazoi desberdinengatik. Argumentua prozesuen taulan ikusgai dago bezeroaren bizitza osoan, eta sarritan shell historialean amaitzen da. Ingurune aldagaia prozesu seme-alabei heredatzen zaie, eta unit fitxategian ezartzen duen systemd unitateak sekretua konfigurazio irakurgarri batean gordetzen du. Fitxategia beharrezkoa bada, zerbitzu kontura mugatu eta saioa amaitzean ezabatu.

Mantendu pribilegio muga deliberatua ere. Identitate hornitzailearekin hitz egiten duen eta agian nabigatzaile bat irekitzen duen prozesuak saio-hasiera horren jabe den erabiltzaile gisa exekutatu beharko luke. Ibilbideak, DNSa eta tunel gailua konfiguratzen dituen prozesuak pribilegio gehiago behar izan ditzake. Nabigatzaile osoa root gisa exekutatzea, bere cookiea root-en jabetzako tunel baterako eskuragarri egon dadin, truke okerra da, eta OpenConnect ezarpen modernoek balioa muga horretatik berariaz pasa dezakete.

Erregistroak susmo bera merezi du. Bezeroaren irteera xehea, laguntza scriptak eta atebidearen diagnostikoak eskaeraren materiala errepika dezakete, eta erregistro maila guztiek ez dute cookiea ezkutatzen. Behar duzun errore erregistrorik txikiena harrapatu, kanal partekatuetatik kanpo eduki, eta berrikusi lagin ezkutatu bat txartel bati erantsi aurretik.

Egiaztapena eta iraungitzea bigarren fasean

Bigarren faseak zerbitzaria egiaztatu behar du oraindik. --authenticate k imprimatzen duen FINGERPRINT ziurtagiri ainguraketa bat da pin-sha256: forman, eta tunelaren deira --servercert bidez pasatzeak egiaztapena autentifikatu zinen atebideari ainguratuta mantentzen du. Script bat sinplifikatzeko ziurtagiri egiaztapena desaktibatzeak cookiea aurreikusitako ostalariari ematen zaiola dioen froga bakarra kentzen du.

Atebideak cookiea ukatzen duenean, konponbidea autentifikazio txanda berria da, ez cache luzeagoa. Gorde cookiea konexioaren bizitza osoan soilik, ezabatu aldi baterako fitxategiak irtetean, eta erabili identitate hornitzailearen edo atebidearen saioa kentzeko prozesua saioa agerian geratzen denean edo gailu bat galtzen denean. Cachean gordetako cookiea ez da MFAren salbuespena.

Hau automatizatu aurretik, egiaztatu lau gauza: tunela kontu egokiarekin exekutatzen da, cookiea stdin bidez iristen da, ziurtagiriaren hatz-marka ainguratuta dago, eta saioa baztertzen da tunela ixten denean. Horietako bat falta bada, automatizazioak cookiearekiko konfiantza zabaldu du, eskuzko fluxua erreproduzitu beharrean.