OpenVPN pudottaa OTP-istunnon myöhemmin: mitä uudelleentodennus vaatii

Asiakkaan puolelta se näyttää satunnaiselta katkeamiselta tunnin kuluttua toimivan istunnon alusta. Ilmaisinalueen kuvake katoaa, tunneli rakennetaan uudelleen ja loki näyttää todennusvirheen eikä verkkovirhettä. Tosiasiassa istunto neuvotteli uudelleen ja toinen kättely tarvitsi tunnistetietoja, joista asiakkaalla ei ollut enää kelvollista kopiota. Kirjautumisessa toiminut kertakäyttökoodi ei voi toimia uudelleen, joten avaimen uusinta epäonnistuu täsmälleen suunnitellulla tavalla.

Korjaus on päätös siitä, mitä toisen kättelyn pitäisi esittää, ei pidempi uudelleenyrityksen ajastin.

Seuraa vaihtoa asiakkaan näkökulmasta

Kirjautuessaan asiakas lähettää käyttäjänimen, salasanan ja koodin token-laitteesta, ja palvelin hyväksyy yhdistelmän. Sen jälkeen istunto toimii, kunnes uudelleenneuvottelun liipaisin laukeaa ja käynnistää uuden TLS-kättelyn olemassa olevan tunnelin sisällä. Tämä kättely pyytää todennuksen uudelleen. Jos palvelimen todennuspolku odottaa salasanaa ja ajankohtaista kertakäyttökoodia, asiakkaalla ei ole uutta koodia tarjottavana, ellei käyttäjä ole läsnä kirjoittamassa sitä.

Useimmat asiakkaat eivät avaa kehoitetta kesken istunnon, joten kättely aikakatkaistaan ja tunneli putoaa. Käyttäjä näkee uudelleenyhdistämisen, ei todennuskehoitetta, ja siksi ensimmäinen raportti syyttää yleensä verkkoa.

auth-gen-token muuttaa sitä, kuka vastaa toiseen kysymykseen

auth-gen-token on vaihtoehto, jonka avulla palvelin voi myöntää tokenin onnistuneen kirjautumisen jälkeen, ja myöhemmät uudelleenneuvottelut esittävät tämän tokenin salasanan ja koodin toistamisen sijaan. Käsikirja dokumentoi sen elinkaaren ja uusintakäyttäytymisen, ja tokenia on kohdeltava tunnistetietona, jolla on oma vanheneminen. Oletuspolulla palvelin validoi tokenin itse sen sijaan, että kutsuisi ulkoista salasanan todentajaa uudelleen.

Ulkoisen todennusintegraation kanssa tämä jako muuttuu. Liitännäisen on ymmärrettävä tokenin tila ja sovellettava omia tarkistuksiaan, koska palvelin ei ole enää ainoa komponentti, joka päättää istunnon jatkumisesta. Tokenin kohteleminen yhtenä numerisena kertakäyttökoodina ei ole tämän ominaisuuden toteutus.

Päätä, mitä tilin tilalle tapahtuu

Token, joka elää pidempään kuin tilin käyttöoikeus, on politiikan aukko. Päätä, miten poistettu käytöstä oleva tili, poistettu ryhmäjäsenyys tai peruutettu laite tulee voimaan, kun token on vielä voimassa. Lyhyet tokenien elinajat pienentävät ikkunaa; selkeä peruutuspolku tekee siitä tarkoituksellista. Kirjoita vastaus muistiin ennen vaihtoehdon käyttöönottoa, koska oletuspolku ei kysy ulkoista todentajaa joka uudelleenneuvottelussa.

Monipalvelinympäristössä tokenien allekirjoitussalaisuus on jaettava, muuten asiakas voidaan lähettää solmuun, joka ei voi validoida sen tokenia.

Testaa vanheneminen ja uudelleenyhdistäminen, älä vain kirjautumista

Pienennä uudelleenneuvotteluväliä testiprofiilissa, jotta toinen kättely tapahtuu seuratessasi, ja seuraa sitten molempia lokeja. Vahvista, että token myönnetään kirjautumisessa, esitetään avaimen uusinnassa ja uusitaan tai myönnetään uudelleen määritetyn elinajan mukaisesti. Pakota sitten tokenin vanheneminen ja täysi uudelleenyhdistäminen, koska puhtaasti uudelleenyhdistävä asiakas voi silti epäonnistua avaimen uusinnan polulla.

Testaa tilin poistaminen viimeisenä. Tämä tapaus kertoo, toteutetaanko kirjoittamasi politiikka vai onko se vain dokumentoitu.

Älä korjaa sitä poistamalla uusintaa käytöstä

Uudelleenneuvotteluvälin asettaminen nollaan molemmilla osapuolilla poistaa oireen ja sen mukana avainten kierron. Se piilottaa tunnistetietojen uudelleenkäytön ongelman politiikan muutoksen taakse, jota kukaan ei tarkistanut. Pidä uusinta ja valitse palvelimen myöntämän tokenin ja tuoreen vuorovaikutteisen haasteen välillä sen mukaan, onko käyttäjä läsnä.

Pidempi uudelleenyrityksen ajastin ei tee käytetystä koodista uudelleen kelvollista. Se vain viivästyttää katkeamista ja tekee lokista vaikeammin luettavan.