Miksi OpenVPN pyytää yhä yksityisen avaimen tiedostoa, vaikka token on käytössä

Asetat tokenin paikalleen, toimittajan oma työkalu näkee sen, ja VPN-asiakasohjelma pyytää yhä yksityisen avaimen tiedostoa. Pyyntö ei ole todiste siitä, ettei tokenia tueta. Se tarkoittaa yleensä sitä, ettei profiili koskaan kertonut asiakasohjelmalle tokenin käytöstä, joten se palasi oletuksena odottamiinsa sertifikaatti- ja avainsyötteisiin.

Kahden erillisen arvon on oltava oikein ennen kuin tämä paluu lakkaa: tokenin tarjoava palveluntarjoaja ja sen sisällä olevan sertifikaatin identiteetti. Ne annetaan eri valinnoilla, ja ne on helppo sekoittaa.

Asiakasohjelma pyytää tiedostoa, koska profiili niin sanoo

Oletusprofiili odottaa sertifikaattitiedostoa ja yksityisen avaimen tiedostoa tai yhtä PKCS#12-pakettia. Kun nämä syötteet puuttuvat, asiakasohjelmalla ei ole mitään ladattavaa ja se käyttäytyy lähes kuin tiedosto puuttuisi, minkä vuoksi oire luetaan rikkinäisenä polkuna eikä puuttuvana mekanismina. PKCS#11-polku korvaa nämä syötteet sen sijaan että täydentäisi niitä, joten profiili, joka yhä nimeää avaintiedoston, käyttää tiedostoa edelleen. Poista tiedostosyötteet tarkoituksella ja anna tokenin toimittaa molemmat puolet.

Palveluntarjoajavalinta nimeää väliohjelmistokirjaston, ei laitetta eikä sertifikaattia. Se, voiko paketoitu asiakasohjelma ladata kyseisen kirjaston, riippuu siitä, miten se on rakennettu, mukaan lukien valinnainen p11-kit-tuki, jonka jotkin koontiversiot ottavat käyttöön ja toiset jättävät pois. Yleinen opas ei voi kertoa, mikä järjestely paketissasi on.

Sarjoitettu identiteetti on eri arvo

Sertifikaatin identiteetti on pitkä sarjoitettu merkkijono, jonka etsintäprosessi tuottaa, eikä se ole kirjaston polku, tokenin PIN tai VPN-tilin nimi. Se sisältää usein merkkejä, jotka on lainattava, ja lainaamaton arvo voi katketa tai tulla väärin luetuksi ilman selvää virhettä. Käytä asiakasohjelman omaa identiteetin etsintä -valintaa luetellaksesi, mitä token tarjoaa, ja kopioi sitten haluttu merkintä tarkalleen. Luettelon ensimmäisen objektin valitseminen on se tapa, jolla laite lopulta esittää väärän sertifikaatin.

Etsinnän tuloste vastaa myös aiempaan kysymykseen: näkyykö token ylipäätään kyseisen palveluntarjoajan kautta. Jos se ei luettele mitään, ongelma on VPN-asiakasohjelman yläpuolella ja kuuluu väliohjelmistolle.

Yhteyden muodostavan prosessin on päästävä tokeniin

Työpöytäistunnossasi toimiva token-toiminto ei todista mitään järjestelmäpalvelusta. Palvelu voi ajaa toisena käyttäjänä, toisessa mount-nimiavaruudessa, moduulipolulla, joka jättää toimittajan kirjaston pois, tai ilman oikeutta avata laitesolmua. Selvitä, mikä prosessi todella pitää yhteyttä, ja testaa siitä kontekstista.

PIN-koodin käsittely ansaitsee oman päätöksensä. Viitetoteutus tarjoaa PIN-välimuistin ja suojatun todennuspolun, ja molemmat ovat olemassa, jotta operaattori voi valita työnkulun sen sijaan että keksisi sen. Älä muunna valvomatonta vaatimusta selkokieliseksi PIN-koodiksi jaetussa profiilissa, koska se vaihtaa tokenin suojauksen mukavuuteen. Kun token kieltää avaimen viennin, allekirjoitus tapahtuu laitteessa ja PIN on ainoa paikallinen salaisuus. Käsittele sitä sen edellyttämällä huolella.

Mitä token ei korvaa

Token todentaa asiakasohjelman käyttöönotetun käytännön mukaisesti, eikä se korvaa asiakasohjelman tarkistuksia palvelinta kohtaan. Onnistuneesti valittu sertifikaatti ei ole lupa hyväksyä odottamatonta yhdyskäytävän sertifikaattia, ja nämä kaksi tarkistusta suojaavat vastakkaisiin suuntiin.

Rekisteröinti on yhä tehtävä myöntäjän luona, ja yhdyskäytävän on yhä valtuutettava identiteetti.

Hyväksyntää varten erottele vaiheet: palveluntarjoaja latautuu, aiottu sertifikaatti löytyy, yksityistä avainta käytetään paikallisella valtuutuksella, VPN todennetaan ja resurssitoiminto onnistuu. Pysähdy ensimmäiseen epäonnistuvaan vaiheeseen sen sijaan että kiertäisit salasanoja ja asentaisit salauspinon uudelleen.

Kirjaa versiot, moduulien omistus, valittu julkinen tunniste ja puhdistetut virheet, ja jätä PIN-koodit ja tunnistetietopaketit tuon kirjauksen ulkopuolelle.