OpenConnect csd-wrapper: déan iniúchadh ar an script roimh an logáil isteach

Nuair a chuirtear --csd-wrapper le próifíl, tugtar script logánta do dhémon a ritheann é le linn logála isteach, mar sin is athbhreithniú cóid é an cinneadh atá romhat, ní lasc rogha. Tá an rogha ann chun gur féidir comhpháirt seiceála óstach an gheata a mhalartú, agus glacann sí cosán chuig script a sholáthraíonn tú féin. Glacann gach rud thíos leis go bhfuil úinéir an imlonnaithe tar éis a rá cheana cé acu seiceáil staide atá ag teastáil; má tá an chuid sin fós oscailte, socraigh í ar dtús. Tá ceithre chéim sa lámhleabhar: aimsigh an chéim a theip, léigh an script, roghnaigh an t-aitheantas a ritheann sé faoi, agus cruthaigh an toradh.

Céim 1: Aimsigh an chéim a theip

Bíonn teachtaireacht dheireanach an chliaint faoi fhianán de ghnáth, rud atá ina dheireadh slabhra seachas ina thús. Seasann logáil isteach HTTPS, seiceáil dheimhniú an fhreastalaí, malartú fíordheimhniúcháin agus comhpháirt staide ar fad os comhair na teachtaireachta sin.

Taifead an leagan agus an seoladh logála isteach atá in úsáid, ansin déan an iarracht arís agus an t-aschur focal ar fhocal á choinneáil ar do theirminéal féin. Léigh an chéad earráid nach iarracht athuair í, ní an líne dheireanach den tras-scríobh. Má stopann an loga sula nainmnítear aon chomhpháirt mheasúnaithe, níl an t-imfhilleadh ina fhadhb agat fós. Ní dhéanann a chur leis ag an bpointe sin ach an dromchla a chaithfidh tú a chosaint níos déanaí a leathnú.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Coinnigh an tras-scríobh go háitiúil, mar is ábhar rochtana iad fianáin agus freagraí fíordheimhniúcháin. Is sceitheadh dintiúirí é rian a ghreamaítear i snáithe comhrá fiú nuair a fhéachann an chéim mheasúnaithe ar neamhdhíobhálach. Roinn téacs na hearráide agus an pointe sa sreabhadh inar tháinig sé chun solais, riamh an t-ualach.

Céim 2: Léigh an script sula dtéann sé isteach i bpróifíl

Níl imfhilleadh ach chomh hiontaofa leis an leagan a d’athbhreithnigh tú, mar sin pionnáil an leagan sin agus stóráil a hash taobh leis an nóta ceadaithe. Tugann an dá ordú thíos méarlorg agus seiceáil chomhréire shaor duit sula léann tú aon líne amháin. Tugann siad freisin tagairt sheasta don chéad duine eile, rud a bhfuil tábhacht leis nuair a mhaireann an comhad lasmuigh de bhainistíocht pacáistí. Ní insíonn ceachtar ordú cad a dhéanann an script, mar sin rith iad agus lean ort ag léamh.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Léigh an comhad iomlán le ceithre cheist i d’intinn: an ndéanann sé glaonna HTTP amach, an léann sé comhaid dintiúirí nó athróga comhshaoil, an scríobhann sé lasmuigh de chomhadlann shealadach, agus an dtuairiscíonn aon bhrainse staide ar éirigh léi gan aon rud a thomhas. Is seachaint bheartais é an patrún deireanach sin le líne loga ceangailte de. Bíonn claonadh ag imfhillteáin chóipeáilte é a smuigleáil isteach taobh thiar de sheiceáil a bhféachann le bheith inchreidte. Má shocraíonn an script go bhfuil an gléas ceart sula bhféachann sé ar an ngléas, stop ansin.

Seiceáil ualaí pacáistithe freisin, mar ní chruthaíonn ceannteideal inléite aon rud faoi chuid eile an chomhaid. Ní dhéanann íoslódáil script ó shnáithe fóraim iontaofa é ach amháin mar go dtagann a ainm le comhpháirt sheiceála óstach fhíor. Taifead cé a shuiteáil é, cad as a dtáinig sé agus conas a nuashonrófar é.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Céim 3: Roghnaigh an t-aitheantas a ritheann an t-imfhilleadh faoi

Íslíonn --csd-user pribhléidí agus an clár CSD, TNCC nó HIP á rith. Tá an cuntas sin mar chuid den socrú rith áitiúil, ní an t-ainm úsáideora a chuirtear chuig an geata.

Tabhair cuntas tiomnaithe don imfhilleadh gan bhlaosc idirghníomhach, gan chearta sudo agus gan bhallraíocht ghrúpa nach bhfuil de dhíth air. Tabhair rochtain léite ar an script agus ar na comhaid shonracha a ndéanann sé iniúchadh orthu, ansin tástáil an t-íslithe sula dteagmhálann tú leis an bpróifíl VPN. Is saoire an fhadhb a aimsiú anseo ná a aimsiú laistigh den chliant.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Cuireann íslithe pribhléidí teorainn leis an damáiste a d’fhéadfadh droch-script a dhéanamh. Ní dhéanann sé athbhreithniú ar an gcód, ní dhéanann sé an tuarascáil fíor, agus ní shuíonn sé go nglacann riarthóir an gheata leis an gcur i bhfeidhm seo mar chomhlíonadh bheartas na ngléas.

Céim 4: Coinnigh an t-athrú inchúlaithe

Déan cúltaca den phróifíl sula ndéanann tú í a chur in eagar, agus coinnigh an t-imfhilleadh faoi rialú leaganacha ionas go n-athchóiríonn cúlú hash aitheanta seachas cóip a lorg. Scríobh cosán an script, an hash, an t-úsáideoir rith agus an ceadaitheoir in aon áit amháin.

Chun cúlú, bain an rogha, atosaigh an cliant agus deimhnigh go bhfillfidh an bhunearráid. Má dhiúltaíonn an geata don logáil isteach fós tar éis an chúlaithe, tá rud éigin eile athraithe freisin, agus tagann aimsiú an difríochta sin roimh iarracht nua leis an imfhilleadh. Coinnigh an chóip roimhe seo ar feadh fhuinneog iomlán an athraithe, rud a chiallaíonn do mhórchuid na bhfoirne go dtí go mbeidh an chéad fhuinneog chothabhála eile thart.

Tar éis rolladh amach rathúil, seiceáil dhá rud seachas aon rud amháin: tagann an tollán aníos, agus diúltaítear fós do ghléas ar cheart dó teip ar an seiceáil staide. Ní cruthúnas é nasc a oibríonn do gach duine go ndeachaigh an mheasúnaíocht slán ó do athrú.

Aicearraí a chruthaíonn dara fadhb

Ná lig don chúntóir staide comhlíontach a thuairisciú gan na seiceálacha riachtanacha a rith, agus ná sáraigh aitheantas an ardáin chun teacht le córas oibriúcháin eile. Ní cruthúnas é a mhaíomh gur ardán difriúil é go gcomhlíonann an fíorghléas an beartas. Fágtar cliant agat a insíonn bréag ag gach logáil isteach amach anseo.

Díchumasaíonn deimhniú freastalaí, atáthaispeáint fianáin shean agus cruachadh scripteanna nár athbhreithníodh uile teip infheicthe ina teip dofheicthe. Mura féidir leis an gcliant suiteáilte an sreabhadh tacaithe a chríochnú, iarr rogha cheadaithe in ionad an ceann atá agat a lúbadh.

Doiciméadaíonn lámhleabhar OpenConnect --csd-wrapper agus --csd-user ar leithligh, agus sin an leid a bhfuil tábhacht léi: is dhá chinneadh iad an script agus an t-aitheantas. Déan athbhreithniú orthu ar leithligh agus scríobh an dá cheann. Ansin stopann an t-áititheoir logála isteach de bheith ina rúndiamhair a réitíonn tú trí chód a ghreamú.