Farkon hanyar EAP: wane hash na kalmar sirri VPN za ta iya amfani
VPN tana tabbatar da sirrin, ba hash na yanar gizo ba. Karanta hanyar, sannan duba abin da ma'ajiyar ke ɗauka kafin ka yi alkawarin cewa waɗannan kalmomin sirri za su ci gaba da aiki.
Ƙungiyoyi da yawa suna da shigarwar yanar gizo da ke aiki da VPN da ke ƙin kowace kalmar sirri daga wannan tebur. Manhajar yanar gizo tana kwatanta hash da ta ƙididdige da kanta, yayin da rami yake neman abokin ciniki ya tabbatar da mallakar sirri ta hanyar da ta wajaba uwar garke ta iya dubawa. Waɗannan buƙatu daban-daban ne a kan kayan da aka adana. A cikin ratar da ke tsakaninsu ne yawancin waɗannan ayyukan suke tsayawa.
Karanta hanyar, sannan tsarin
Rubuta wace hujja hanyar da aka zaɓa ke buƙata kafin ka duba kowane tsari. Hanyar ƙalubale da amsa tana buƙatar kayan da uwar garke za ta iya ƙididdige amsar da ake tsammani daga gare su, wanda a aikace yana nufin kalmar sirri ko wani siffa da aka samo mai dacewa. Hanyar da ke ɗaukar kalmar sirri cikin rami mai kariya tana buƙatar kalmar sirri kanta a wajen mai tabbatarwa. Karanta takardun hanyar don buƙatar mai tabbatarwa ba don saitin abokin ciniki ba, domin buƙatun abokin ciniki yawanci su ne sashe mai sauƙi.
Hash mai gishiri da wani tsarin yanar gizo na zamani ya samar ba ya ba da ɗaya daga cikinsu. Yana tabbatar da kwatanci ɗaya takamaimai kuma ba za a iya mayar da shi ga sirrin da ya fito daga gare shi ba.
Ƙalubale da amsa ba za su iya amfani da hash mai gishiri ba
MSCHAPv2 musanya ce ta ƙalubale da amsa, don haka uwar garke ba ta taɓa samun kalmar sirri kuma ba za ta iya kwatanta zaren da aka adana ba. Dole ne ta samo amsar da ake tsammani daga kayan da ta riga tana da su, wanda shi ya sa sifofin da aka adana masu dacewa suke da ƙunci haka. Darajar bcrypt ko Argon2 da gishiri ga kowane mai amfani mai hanya ɗaya ce ta yadda za ta hana musanyar gaba ɗaya. Teburin da ke ƙasa ya fara daga sifar ajiya ba daga sunan hanyar ba, domin sifar ajiya ce ke yanke amsar.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Takardun ƙarin SQL na strongSwan sun bayyana nasu tsarin don saiti da takaddun shaidar shiga, kuma aikin har yanzu yana yi wa wannan ƙari alama a matsayin gwaji. Babu wani abu a cikinsu da ke dacewa da teburin masu amfani na manhaja ko ya tsinkayi wane tsarin hash ya samar da darajar da aka adana. Don haka zaɓuɓɓukan da suka dace su ne ƙaura zuwa ma'ajiyar da ƙofa za ta iya amfani, ko sabis na tabbatarwa a gaban ma'ajiyar da ke akwai wanda zai iya yin musanyar. Duk wani abu kuma mai haɗawa ne da ke ɗauke da zato a ɓoye a cikinsa.
RADIUS yana motsa aikin, ba buƙatar ba
Ba da EAP ga uwar garken RADIUS yana canza inda ake tabbatarwa kuma yawanci yana inganta sawun bincike. Ba ya dawo da kalmar sirri daga hash mai hanya ɗaya, don haka sabis na tabbatarwa har yanzu yana buƙatar kayan da suka dace da hanyar da yake ƙarewa. Ƙungiyoyi suna gano haka bayan sun gina hanyar RADIUS kuma sun ci karo da wannan bango a wancan ƙarshen.
Inda uwar garken RADIUS za ta iya karanta jagorar da ke ɗauke da takardar shiga mai dacewa, tsarin yana aiki kuma ƙofar VPN tana kasancewa mai sauƙi. Inda ba za ta iya ba, amsar gaskiya ita ce canjin rajista ba wata hanyar haɗawa ba. Samarwa da sokewa na wanda ya mallaki asalin ne, don haka tebur da aka kwafa ba tare da tsarin daidaitawa mai goyon baya ba wata sabuwar rayuwar takardar shiga ce ba shiga ɗaya ba. Yana ɓatawa a karon farko da wani ya sake saita kalmar sirri a wuri ɗaya kawai, kuma ɓatarwar tana yin shiru har sai wani asusu da ke cikin duka tsarin ya ɗauki daban a kowanne.
Iyakance asusun da ke karanta jagorar ga wannan karatun kawai, kuma ka keɓe shi daga asusun da ƙofar ke amfani don nata saitin. Asusun gudanarwa da aka raba yana mai da tsarin karatu-kawai zuwa faffadan yanayin illa.
Inda asusun ya kamata ya kasance
Bayan an warware maganar kayan, gine-gine biyu ne suka rage. Ƙofar na iya mallakar ƙaramin ma'ajiyar takardun shiga wanda ita kaɗai ke karantawa, ko kuma ta ba da aiki ga sabis na tabbatarwa wanda ke tsaye a gaban jagorar kamfani.
Na farko ya fi sauƙin tunani kuma ya fi muni ga mai amfani, wanda zai ƙare da wata kalmar sirri ta biyu da zai kula. Na biyu yana riƙe da asali ɗaya kuma yana ƙara dogaro da sabis wanda yanzu dole ya kasance yana aiki kafin kowa ya haɗa. Babu wanda ba daidai ba, amma ya kamata a rubuta zaɓin kusa da saitin ƙofar, domin in ba haka ba injiniyan na gaba zai ɗauka cewa an zaɓi ɗayan. Duk abin da ka zaɓa, umarnin biyu da ke ƙasa su ne waɗanda ke nuna halin yanzu kafin ka canza shi.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsTabbatar da asusu kuma ba ya warware izini. Kasancewar cikin ƙungiya, yanayin na'urar da izinin cibiyar sadarwa har yanzu suna buƙatar taswira bayyananne bayan mai amfani ya tabbatar da asalin da ake buƙata. Haɗin da ke tabbatarwa daidai kuma ba ya ba da izini ga kome sakamakon manufa ne, ba kuskure a cikin hanyar ba.