TOTP-fraach fan OpenConnect ûntbrekt yn NetworkManager: fjouwer kontrôles

De poarte akseptearret it wachtwurd, freget om in koade, en de dialooch biedt gjin fjild dêrfoar. Der is neat ferkeard yntype: de NetworkManager-plug-in foltôge de geheime-útwikseling sûnder de seis-sifers wearde op te freegjen. Wurkje de fjouwer kontrôles hjirûnder yn folchoarder ôf, want mar ien fan harren feroaret de klant. De rest fan ’e list slút de poarte, it akkount en de boustekst fan ’e plug-in út.

Kontrôle ien: lês wêr’t de autentikaasje stoppe is

In ferkeard wachtwurd misbeteart fuortendaliks. In ûntbrekkende twadde faktor misbeteart nei de stap fan ’e oanmeldgegevens, meastentiids mei in werhelle fraach of in ferrûn tiid oan ’e kant fan ’e poarte. De tiid en it log fan ’e poarte litte sjen hokker ronde ûnbeantwurde bleau.

Lês it ferbininglog foardat jo it profyl oanreitsje. As de poarte in ûnfolsleine autentikaasje of in ferrûne útdaging meldt, hat de klant de koade nea stjoerd. As it ûnjildige oanmeldgegevens meldt, is it wachtwurd it probleem en gjin inkele TOTP-ynstelling sil it reparearje.

Notearje de krekte fraachfolchoarder dy’t de poarte ferwachtet: brûkersnamme, wachtwurd, dan koade, of brûkersnamme, koade, dan wachtwurd. Guon poarten feroarje de folchoarder fan ’e rondes, en in klant dy’t allinnich de earste folchoarder ken, sil by de twadde fêstrinne.

Kontrôle twa: brûk de klant dy’t de útdaging hat

OpenConnect sels ymplementearret it folsleine petear, ynklusyf de útdagingsronde. It direkt útfiere is de meast foarsisbere manier om te befêstigjen dat it akkount en de poarte wurkje:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

De klant freget yn ’e folchoarder dy’t de poarte freget. De brûkersagent is fan belang, want guon poarten passe de oanmeldstream oan op in bekende klant, en in generike tekenrige kin in koartere stream opliede dy’t nea om ’e koade freget. Fier it ien kear op ’e foargrûn út foardat jo in eftergrûntsjinst regelje.

As de kommandorigel korrekt freget, binne it akkount, de poarte en de twadde faktor yn oarder. It oerbleaune probleem is de dialooch fan ’e plug-in, net de autentikaasjetsjinst. Dat isolearret it defekte komponint sûnder de tsjinner oan te reitsjen. Bewarje de útfier fan it kommando by it ynsidintrecord.

As de kommandorigel de fraach ek oerslacht, stopje dan en kontrolearje de konfiguraasje fan ’e poarte mei syn eigner. Gjin desktopklant kin in útdaging beäntwurdzje dy’t de tsjinner nea stjoert.

Kontrôle trije: sjoch oft jo plug-in in TOTP-modus biedt

Guon NetworkManager OpenConnect-bousteksten biede in tokenmodus en in brûkersagentfjild op it Identity-tabblêd fan ’e ferbining. Set de brûkersagent op ’e wearde dy’t de poarte ferwachtet, kies hânmjittige TOTP-ynfier en bewarje de ferbining.

Oft dy fjilden bestean hinget ôf fan ’e ferzje fan ’e plug-in en fan hokker ferbiningsbewurker it buro brûkt. In selsstannige bewurker kin opsjes sjen litte dy’t it GNOME-panoel ferberget, of oarsom. Kontrolearje de ferzje fan it ynstallearre pakket foardat jo in ferburgen ynstelling sykje.

As de tokenmodus bestiet en de fraach ferskynt noch altyd net, dan mist de boustekst it trochjaan fan ’e útdaging tusken de plug-in en de generike geheime-dialooch. It wachtwurd opnij yntype, itselde pakket opnij ynstallearje of de kaaiering skjinmeitsje sil gjin fjild meitsje dat de boustekst net ymplementearret.

Kontrôle fjouwer: behannelje in generearre koade as in kompromis

In skript kin oathtool oanroppe foar de aktuele koade en brûkersnamme, wachtwurd en koade yn nmcli connection up --ask fiere. De searje wurket, mar it dielde geheim einiget opslein op in plak dat lêsber is foar elkenien dy’t it skript iepenje kin, en dy lêzer kin foar altyd koades meitsje. Dat is in bliuwende útwreiding fan it oanmeldgegevensflak, gjin klantreparaasje.

Wa’t dat kiest, moat it geheime bestân oan root beskoattelje, generearre wearden bûten de shell-skiednis hâlde en it skript as oanmeldgegevensmateriaal behannelje. In wrapper dy’t de koade nei de terminal werklinkt, smyt de twadde faktor fuort. Test de wrapper earst mei in weismitaccount.

It skript moat ek de fraachfolchoarder fan ’e poarte folgje. As de tsjinner de koade foar it wachtwurd freget, stjoert in fêste ynfiersearje de ferkearde wearde nei de ferkearde fraach en produsearret deselde ûnfolsleine autentikaasje. Oefenje it tsjin in testaccount foardat jo it oan in oanmeldtaak keppelje.

Befêstigje deselde poarte en itselde akkount

Test elke omwei tsjin deselde poarte, itselde akkount en deselde tunnelgroep. In poarte dy’t ek in apparaatsertifikaat easket kin de kommandorigelklant ôfwize om in reden dy’t neat mei TOTP te krijen hat, en de fraachfolchoarder kin oars wêze as dy’t jo oefene hawwe.

Notearje de klant, syn ferzje, de brûkersagent en de fraachfolchoarder dy’t wurke. Dat record fertelt de folgjende persoan oft it probleem de boustekst fan ’e plug-in, de stream fan ’e poarte of it belied fan it akkount is, sûnder noch in ronde wachtwurdresets.

Einigje troch ien kear opnij te ferbinen nei in folsleine ôflogging. In cachet geheim kin in brutsen stream reparearre lykje litte oant de folgjende sesje, en it is by de twadde ferbining dat de ûntbrekkende fraach meastentiids weromkomt.