Wane PKCS#11 URI OpenConnect ke buƙata don token?

Katin wayo da ya riga ya riƙe maɓallin da ya dace har yanzu dole a gaya masa wane abu a kansa za a yi amfani da shi. OpenConnect a wannan yanayin ba ya son kwafin fayil ɗin .key; yana son PKCS#11 URI da ke ambaton takardar shaidar kuma, idan binciken atomatik ba zai iya kammala aikin ba, maɓallin sirri da ke gefensa. Abin da ke damun shi shi ne cewa URI mai ingancin tsari ba ya tabbatar da komai. Dole ne ya ambaci rajistar da ƙofar ke amincewa da ita tuni, ba kawai wani abu da katin ya yarda ya buɗe ba.

Abin da abokin ciniki ke so maimakon fitar da maɓalli

Zaɓin -c yakan karɓi hanyar fayil, amma idan an fassara ƙimar a matsayin PKCS#11 URI, OpenConnect yana ɗaukarta a matsayin nuni ga wani abu a cikin token maimakon fayil a faifai. Zaɓin -k yana yin haka ga maɓallin sirri. Ba a fitar da komai, kuma maɓallin ba ya barin kariyar da katin ke bayarwa. Abin da abokin ciniki ke buƙata daga gare ku shi ne sunan da token module, ajiyar takardun shaida da rajistar ƙofar suka amince da shi.

A kan wannan ƙayyadaddun na ƙarshe ne yawancin ƙoƙari suke tsayawa. URI na iya kasancewa cikakke a tsari kuma har yanzu ya zaɓi takardar shaidar da ƙofar za ta ƙi, domin inganci da dacewa tambayoyi ne daban. Gwajin da ya kamata a yi shi ne kwatance da rikodin rajista, ba bincike na farkon abin da ya buɗe bisa kwatsam ba.

URI biyu, ayyuka biyu daban

URI na takardar shaidar yana amsa wace sura kuke da'awa. Yana nuni ga wani abin takardar shaidar da maɓallinsa na jama'a da layin batunsa suka dace da bayanin asusu ko na'urar da mai kula da VPN ya bayar. Wannan takardar shaidar yakan zo da abin maɓallin sirri da aka ajiye a gefensa, kuma wannan biyun ne TLS ke buƙata a haƙiƙa.

URI na maɓalli yana amsa inda kayan sirrin da ya dace yake zaune lokacin da OpenConnect ba zai iya gano shi ba. Da -c kawai an saita, abokin ciniki yana gina binciken maɓalli daga halayen takardar shaidar; bayar da -k yana maye gurbin hasashe da bayyanannen nuni ga abu. PIN na token shi ne na uku, shigarwa marar alaƙa: yana buɗe katin don aiki, kuma ba ya taɓa gane wani abu.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Duk abin da ke cikin wannan igiyar da aka ambata bayanai ne. Waƙafi na tsakiya suna raba halayen URI kuma tserewar kashi na ɗari suna ɓoye haruffan da in ba haka ba za su karya fassarar, don haka dole dukkan hujjar ta tsira daga harsashi lafiya.

Nemo URI da ya dace da rajistar ku

GnuTLS yana ɗauke da p11tool, wanda ke lissafa abin da mai amfani na yanzu zai iya isa ta p11-kit. Fara da p11tool --list-tokens, sannan ka lissafa abubuwan takardar shaidar a kan token da kuke so. Ƙara --login idan abubuwan sun bayyana ne kawai bayan PIN, kuma kwatanta batun da mai bayarwa da rikodin rajista maimakon zaɓin abin da ya fara bayyana.

Idan token ɗin bai bayyana kwata-kwata ba, matsalar tana ƙasa da OpenConnect: p11-kit ba shi da wata manhaja da aka yi rijista don wannan tsakiyar software, ko kuma an yi rijistar manhajar don wani asusu. Rijista ta dukan tsarin tana ƙarƙashin /etc/pkcs11/modules, kuma jakar kowane mai amfani na iya riƙe iri ɗaya ba tare da taɓa kwafin tsarin ba. Tabbatar cewa hanyar mai bayarwa a cikin fayil ɗin manhaja tana nuni ga ɗakin karatu da software ɗin mai karatu ya girka a haƙiƙa.

Lokacin da kuke kwafin URI daga lissafin, riƙe ƙididdigan da ke kewaye da shi. Waƙafi na tsakiya marasa ƙididdiga suna yanke hujjar a farkon hali kuma abokin ciniki sai ya ba da rahoton wani abu da ba zai iya samu ba.

Lokacin da binciken maɓalli na atomatik ya daina

OpenConnect na iya fitar da binciken maɓalli daga URI na takardar shaidar, amma ainihin daidaitawar da yake yi ya dogara da sigar, kuma yadda ake kula da nau'in abu da lakabi ya canza a tsawon lokaci. Shawarar da ke ce a rage URI har sai ya yi aiki tana bayanin wata tsohuwar hanya ce, ba buƙata ba. Idan binciken da aka fitar ya gaza, ambaci maɓallin a sarari da -k maimakon canza URI na takardar shaidar zuwa wani abu da ya fi shubuha.

Tabbatar maɓallin yana nan kuma ana iya gani da p11tool --list-keys kafin a zargi abokin ciniki. Sannan duba an yi wa abin alama a matsayin mai amfani don sa hannu ko ɓata sirri, domin maɓallin da aka ƙirƙira da halaye marasa kyau ba zai iya kammala musabaha ba, komai daidaitaccen URI. Kada ka sauya ƙimar pkcs11-id da aka jera daga bayanin OpenVPN zuwa zaɓin OpenConnect; abokan ciniki biyu suna amfani da sifofin gane daban duk da cewa suna magana da kati ɗaya.

Idan URI ya warware kuma an karɓi PIN amma tabbatarwar har yanzu ta gaza, daina gyaran URI. Karanta kuskuren ƙofar kanta, domin gazawar ta gaba tana sama da token.

Gazawa da ke kama da matsalolin URI kawai

Ƙofar da ke magana da wata ka'ida za ta gaza iri ɗaya ko URI ɗinku daidai ne ko a'a. OpenConnect ya maye gurbin tsohon abokin ciniki na vpnc saboda wani dalili, kuma tallafin kati ba ya sa ka'idar ƙofar da ba ta dace ta dace. Tabbatar da ka'idar da ake tsammani daga uwar garke da tsarin tabbatarwa kafin ku sake kashe wata sa'a a kan halayen abu.

Tabbatar da sunan uwar garke shima wani rukuni ne daban. Abokin ciniki yana tabbatar da takardar shaidar ƙofar da ajiyar amincewarsa, kuma wannan gwajin yana gudana bayan katin ya riga ya yi nasa ɓangaren. Izinin mai karatu da sabis ɗin pcscd da ya tsaya suna haifar da wannan bayyanannen alama, token da ba a iya karantawa, tare da gyara mafi sauƙi.

Yi aiki daga abin zuwa waje: shin p11tool yana ganin token, yana ganin takardar shaidar da maɓallin, shin OpenConnect yana karɓar URI, sannan kawai ka tambayi ko ƙofar tana karɓar surar. Kowane mataki yana da nasa saƙon kuskure, kuma kowanne ya fi na gaba sauƙin gwadawa.