Wêrom't OpenVPN noch om in triem foar de partikuliere kaai freget as der in token is

Jo stekke it token yn, it ark fan 'e oanbieder sels sjocht it, en de VPN-klant freget noch om in triem foar de partikuliere kaai. Dat fersyk is gjin bewiis dat it token net stipe wurdt. It betsjut meast dat it profyl de klant nea sein hat it token te brûken, sadat er weromfoel op 'e sertifikaat- en kaai-ynfier dy't er standert ferwachtet.

Twa aparte wearden moatte goed wêze foardat dy weromfal ophâldt: de oanbieder dy't it token bleatleit, en de identiteit fan it sertifikaat deryn. Se wurde troch ferskillende opsjes levere en binne maklik te betiizjen.

De klant freget om in triem om't it profyl dat seit

In standertprofyl ferwachtet in sertifikaattriem en in triem foar de partikuliere kaai, of ien PKCS#12-pakket. As dy ynfier ûntbrekt, hat de klant neat te laden en docht er hast itselde as by in ûntbrekkende triem, en dêrom wurdt it symptoom lêzen as in stikken paad ynstee fan in ûntbrekkend meganisme. It PKCS#11-paad ferfangt dy ynfier ynstee fan it oan te foljen, dus in profyl dat noch in kaaitriem neamt, sil de triem gewoan brûke. Ferwiderje de triemynfier mei sin en lit it token beide helten leverje.

De oanbiederopsje neamt in middleware-biblioteek, net in apparaat en net in sertifikaat. Oft in ferpakt klant dat biblioteek lade kin, hinget ôf fan hoe't er boud is, ynklusyf de opsjonele p11-kit-stipe dy't guon builds oansette en oaren weilitte. In algemiene hantlieding kin jo net sizze hokker opbou jo pakket hat.

De serialisearre identiteit is in oare wearde

De identiteit fan it sertifikaat is in lange serialisearre tekenrige dy't it ûntdekkingsproses makket, en it is net it biblioteekpaad, de PIN fan it token of de namme fan it VPN-akkoart. Hy befettet faak tekens dy't oanhelle wurde moatte, en in wearde sûnder oanhelstekens kin ôfkoarte of ferkeard lêzen wurde sûnder in dúdlike flater. Brûk de eigen opsje identiteitsûntdekking fan 'e klant om te listjen wat it token bleatleit, en kopiearje dan de bedoelde ynfier krekt. It earste objekt yn 'e list kieze is de manier wêrop in apparaat úteinlik it ferkearde sertifikaat presintearret.

De útfier fan 'e ûntdekking beantwurdet ek in eardere fraach: oft it token hielendal troch dy oanbieder te sjen is. As it neat listet, sit it probleem boppe de VPN-klant en heart it by de middleware.

It proses dat ferbynt moat it token berikke kinne

In tokenbewurking dy't yn jo buroblêdsesje wurket, bewiist neat oer in systeemtsjinst. De tsjinst kin as in oare brûker rinne, yn in oare mount-nammeromte, mei in modulepaad dat it biblioteek fan 'e oanbieder weilit, of sûnder tastimming om it apparaatknooppunt te iepenjen. Stel fêst hokker proses de ferbining echt hâldt en test út dat kontekst.

Omgean mei PIN fertsjinnet in eigen beslút. De referinsje-ymplemintaasje biedt in PIN-cache en in beskerme autentikaasjepaad, en beide besteane sadat in operator in wurkstream kieze kin ynstee fan ien te betinken. Meitsje fan in eask sûnder tafersjoch gjin PIN yn platte tekst binnen in dield profyl, want dat ruilet de beskerming fan it token foar gemak. Wêr't it token kaai-eksport ferbiedt, bart de ûndertekening op it apparaat en is de PIN it iennichste lokale geheim. Behannelje it mei de soarch dy't dat ymplisearret.

Wat it token net ferfangt

It token autentisearret de klant ûnder it útrôle belied, en it ferfangt de kontrôles fan 'e klant op 'e tsjinner net. In sertifikaat dat mei súkses keazen is, is gjin tastimming om in ûnferwacht sertifikaat fan 'e poarte te akseptearjen, en de twa ferifikaasjes beskermje tsjinoerstelde rjochtingen.

Ynskriuwing moat noch altyd by de útjouwer barre, en de poarte moat de identiteit noch altyd autorisearje.

Foar akseptaasje, skied de stadia: de oanbieder ladelet, it bedoelde sertifikaat wurdt fûn, de partikuliere kaai wurdt mei lokale autorisaasje brûkt, de VPN autentisearret, en de boarnebewurking slagget. Stop by it earste stadium dat mislearret ynstee fan troch wachtwurden te gean en de krypto-stapel opnij te ynstallearjen.

Registrearje ferzjes, module-eigendom, de keazen publike identifisearder en suvere flaters, en hâld PIN's en bewiisbrievenpakketten bûten dat registro.