VPN ziurtagiriak ez du LDAP atala babesten

Direktorio baten aurka kredentzialak egiaztatzen dituen VPN saio-hasierak sare konexio bereizi bi ditu. Erabiltzailearen konexioa atebidearekin VPNaren ziurtagiri propioak eta protokoloaren konfigurazioak babesten dute. Atebidearen konexioa direktorioarekin TLS ezarpen propioak, konfiantza biltegi propioa eta hutsegite modu propioak dituen beste saio bat da. Lehenengoari buruzko ezerk ez du bigarrenari buruz ezer bermatzen.

Asimetria hori da zifratuta dirudien eta hala ere bind pasahitza garbi bidaltzen duen saio-hasieraren atzean dagoen mekanismoa.

Bi konexio, bi konfiantza erabaki

Kanpoko saioa erabiltzaileak ikusten duena da: VPN ostalari-izenari lotutako ziurtagiri bat, bezeroak baliozkotua, autentifikazio trukea daramana. Barneko saioa atebidearen barneko direktorio bezeroarena da, eta hark bere konexioa irekitzen du eta TLS negoziatzen du edo ez. Alde bakoitzak berarekin hitz egiten duen parekidea baliozkotzen du, beste konfigurazio fitxategi bateko materiala erabiliz. Gaizki konfiguratutako barne atala erabiltzailearen aldetik ikusezina izaten jarraitzen du, kanpoko atala nahi bezala funtzionatzen duelako.

Horregatik da hutsegitea isila eta ez ozena. Direktorioaren ziurtagiria inoiz egiaztatzen ez duen atebide batek erabiltzaileak behar bezala autentifikatzen jarraitzen du; soilik egiaztatu ez duen kanal baten bidez autentifikatzen ditu.

StartTLS eta LDAPS, nahita hautatuak

StartTLS LDAP arrunt gisa irekitzen da eta tokian bertan hobetzen, normalean 389 portuan. LDAPS TLS abiarazten du konexioarekin batera, normalean 636 portuan. Biak dira zilegi eta adaptagailuak direktorioak eskaintzen duenera egokitu behar du. StartTLS eskakizuna ez da berbera probatzea eta hobekuntzak huts egiten duenean jarraitzea, eta alde horretan bertan ihes egin dezake bind pasahitz batek. Konfiguratu modu zorrotza, eta ez onartu pasahitz bidezko bind baterako babesik gabeko ordezko biderik.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ aukera da kontu osoa: kontsultak huts egiten du hobekuntzarik gabe isilki jarraitu beharrean. Lerro horretako izenak eta kontuak adibideak dira. OpenLDAPren TLS dokumentazioak atzean dauden konfiantza ezarpenak biltzen ditu.

Zein konfiantza biltegi irakurtzen du LDAP bezeroak?

OpenLDAP bezero liburutegiak bere konfiantza konfigurazioa irakurtzen du, sistemako fitxategitik edo pluginaren ezarpen zehatzetik. VPNaren CA direktibak VPN parekideei aplikatzen zaizkie eta ez da LDAP liburutegiak fitxategi bera irakurtzen duen froga. Erabili ziurtagiriak benetan estaltzen duen direktorio ostalari-izena, gehi liburutegiak fidatzen duen jaulkipen katea. Active Directoryn, inplementatu direktorio zerbitzu ziurtagiri bat zerbitzari autentifikaziorako erabilera zuzenarekin, bistaratzeko izenetik abiatuta arrazoitu beharrean.

Failover helmuga bakoitzak identitate politika bera bete behar du. Lehenengoa baliozkotuta eta bigarrena baliozkotu gabe dituen ingurunea failoverik gabeko bat baino okerragoa da, bide ahulena etenaldi batean baino ez baita aurkitzen.

Bind kontua arazo bereizi izaten jarraitzen du

Garraioa babesteak ez du gutxitzen bind kontuak egin dezakeena. Direktorio bilaketa esparrua, talde baimenak eta zerbitzu kontuaren pribilegioak erabaki bereiziak dira, eta bind kontu zabal bat zabala izaten jarraitzen du TLS gaitutakoan. Erabili integrazioak behar duen zerbitzu kontu eta bilaketa oinarri estuena, eta erregistratu amaiera-puntua, TLS modua, konfiantzaren jabea eta berritze prozesua VPN konfigurazioarekin batera.

Ziurtagiri desadostasuna agertzen denean, inplementatu ziurtagiri edo kate zuzena. Egiaztapena desgaitzeak desadostasun ikusgai bat ikusezin bihurtzen du eta bigarren konfiantza harremana probatu gabe uzten du.

Bi konexio, bi jabe, bi berritze data. Dokumentazioan bereizita edukitzea da saio-hasiera zintzo mantentzen duena.