Mac VPN վկայագիր՝ ինչու է ինքնության ընտրիչը դատարկ մնում
Հաճախորդին անհրաժեշտ է վկայագիր իր գաղտնի բանալիով, այն պահոցում, որը նա կարդում է։ Նախ ստուգեք ինքնությունը, ապա՝ արդյոք դարպասը ընդունում է այն։
Դուք տեղադրել եք վկայագիրը, այն երևում է Keychain Access-ում ընկերական անունով, և VPN հաճախորդի ինքնության ընտրիչը դեռ դատարկ է։ Հաճախորդը վկայագիր չի փնտրում։ Նա փնտրում է ինքնություն՝ վկայագիր, որը զուգակցված է գաղտնի բանալու հետ և կարող է ապացուցել տիրապետումը, պահված այնտեղ, որտեղ հաճախորդին թույլատրվում է կարդալ այն։
Այն, ինչ հաճախորդը խնդրում է, ինքնություն է
Apple-ի անվտանգության շրջանակը վկայագիրն ու ինքնությունը դիտարկում է որպես տարբեր օբյեկտներ։ Վկայագիրը հանրային տվյալ է։ Ինքնությունը այդ վկայագիրն է՝ իր գաղտնի բանալիով, և միայն ինքնությունը կարող է ավարտին հասցնել մարտահրավերը։ Վստահելի CA վկայագիրը, ի հակադրություն, թույլ է տալիս հաճախորդին գնահատել թողարկողին, բայց այն մեքենային չի դարձնում թողարկված հաճախորդի հավատարմագրի կրող։
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Ահա թե ինչու .cer ֆայլի ներմուծումը երբեք չի ստեղծում օգտագործելի հաճախորդի ինքնություն։ Ֆայլը կրում է միայն հանրային նյութ։ Ինչքան էլ այն վերանվանեք կամ վստահելի համարեք, այն բանալիների զույգ չի դառնում։
Երեք պատճառ, թե ինչու ընտրիչը դատարկ է մնում
Առաջինը բացակայող գաղտնի բանալին է, ինչը նշանակում է, որ գրանցման կամ ներմուծման գործընթացը մեկը չի տրամադրել։ Երկրորդը պահոց է, որը հաճախորդը չի ստուգում՝ օգտվողի մակարդակի պրոֆիլը նայում է օգտվողի բանալիների կապոցում, իսկ համակարգի պահոցում դրված տարրը կարող է անտեսանելի լինել նրա համար։ Երրորդը նպատակի կամ քաղաքականության անհամապատասխանությունն է, երբ վկայագիրը գոյություն ունի, բայց տեղակայման կանոններով վավեր չէ հաճախորդի նույնականացման համար։
security find-identity -v -p ssl-clientՍա թվարկում է այն ինքնությունները, որոնք համակարգը վավեր է համարում հաճախորդի նույնականացման համար։ Եթե քանակը զրո է, խնդիրը VPN հաճախորդից վերև է, և պրոֆիլի ոչ մի խմբագրում այն չի շտկի։ Եթե ինքնությունը երևում է այստեղ, բայց ոչ հաճախորդում, տարբերությունը հաճախորդի պահոցում կամ շրջանակում է։
Որտեղ է ապրում գաղտնի բանալին, և ով կարող է օգտագործել այն
Երբ ինքնություն եք ներմուծում Keychain Access-ի միջոցով, ներմուծման երկխոսությունը առաջարկում է նպատակակետ բանալիների կապոց։ Որ նպատակակետն է ճիշտ, կախված է հաճախորդից և նրանից, թե պրոֆիլը օգտվողի է, թե սարքի շրջանակի։ Հին պատասխանը, որը խորհուրդ է տալիս համակարգի բանալիների կապոցը, համընդհանուր կանոն չէ, և պահոցների միջև տարրերի պատճենումը վերանորոգում չէ։
System Roots-ը վստահության հավաքածու է։ Այնտեղ վկայագիր դնելը փոխում է, թե համակարգը որ թողարկողներին է վստահում՝ այն գաղտնի բանալի չի ստեղծում և ինքնությունների պահոց չէ։ Ընտրիչը լրացնելու համար անկապ վկայագրերի տեղափոխումը այնպիսի վերանորոգում է, որը մեքենան թողնում է մշտապես ընդլայնված վստահության բազմությամբ։
Գաղտնի բանալու հասանելիությունը առանձին վերահսկողություն է։ Յուրաքանչյուր հավելվածի թույլտվություն տալը բանալին օգտագործելու լուծում է մեկ հաճախորդի ընտրության խնդիրը և նույն հնարավորությունը տալիս մեքենայի մնացած ամեն ինչին։ Տվեք այն հաճախորդին, որին դա պետք է, և ստուգեք՝ արդյոք բանալին ապարատային աջակցություն ունի կամ նշված է որպես չարտահանվող, և եթե այդպես է, պետք է օգտագործել աջակցվող մատակարարին, այլ ոչ արտահանված պատճենը։
Ինչպես է պրոֆիլը մատնանշում հավատարմագրին
Կառավարվող բնիկ IKEv2 կոնֆիգուրացիայում պրոֆիլը հղում է անում իր հավատարմագրի բեռնվածքին PayloadCertificateUUID-ի միջոցով։ Կարևոր են հղված ինքնությունը և այն, թե ինչպես է այն տրամադրվել՝ պրոֆիլում ցուցադրվող անվան խմբագրումը չի վերանորոգում հղումը, որը մատնանշում է սխալ բեռնվածքի կամ այնպիսի բեռնվածքի, որը երբեք բանալի չի տրամադրել։
Երրորդ կողմի մատակարարը կարող է օգտագործել բոլորովին այլ ընտրության մեխանիզմ, օրինակ՝ իր պահոցը կամ համակարգի հուշումը։ Կարդացեք այդ մատակարարի փաստաթղթերը՝ բնիկ պրոֆիլի ենթադրությունները փոխանցելու փոխարեն, և ստուգեք հղումը իրականում տեղադրված պրոֆիլում, այլ ոչ կառավարման վահանակի սևագրում։
Ընտրությունը և ընդունումը առանձին նշաձողեր են
Լրացված ընտրիչը նշանակում է, որ հաճախորդը կարող է գտնել և օգտագործել ինքնություն։ Դա ոչինչ չի ասում այն մասին, թե արդյոք դարպասը կընդունի այն։ Սերվերը դեռ ստուգում է թողարկողին, վավերականության պատուհանը, չեղարկման կարգավիճակը և այդ հավատարմագրի քարտեզագրումը հաշվին։
Փորձարկեք երկու փուլերն էլ բացահայտ, այդ հերթականությամբ։ Հաստատեք, որ ինքնությունը առաջարկվում է, միացեք, ապա խնդրեք դարպասի տիրոջը հաստատել, թե որ հավատարմագիրն է ներկայացվել և որ քարտեզագրման կանոնն է այն սպառել։ Եթե հաճախորդը ինքնություն է առաջարկում, իսկ սերվերը մերժում է այն, մնացած աշխատանքը սերվերի կողմն է։ Վկայագրի վերատեղադրումը Mac-ում չի փոխի այդ արդյունքը, ինչքան էլ այն կրկնվի։