OpenVPN-ը ավելի ուշ կտրում է OTP նստաշրջանը. ինչ է պետք կրկնակի նույնականացմանը

Հաճախորդի կողմից դա երևում է որպես աշխատող նստաշրջանի մեկ ժամից պատահական անջատում։ Սկուտեղի պատկերակը անհետանում է, թունելը վերակառուցվում է, և մատյանը ցույց է տալիս նույնականացման ձախողում, ոչ թե ցանցային սխալ։ Իրականում նստաշրջանը վերաբանակցել է, և երկրորդ ձեռքսեղմումը պահանջել է վկայականներ, որոնց վավեր պատճենը հաճախորդն այլևս չուներ։ Մուտքի պահին աշխատած մեկանգամյա կոդը չի կարող նորից աշխատել, ուստի բանալու նորացումը ձախողվում է հենց այնպես, ինչպես նախագծված է։

Ուղղումը որոշում է, թե ինչ պետք է ներկայացնի երկրորդ ձեռքսեղմումը, ոչ թե ավելի երկար կրկնափորձի ժամաչափ։

Հետևեք փոխանակմանը հաճախորդի տեսանկյունից

Մուտքի պահին հաճախորդն ուղարկում է օգտանունը, գաղտնաբառը և կոդ թոքեն սարքից, և սերվերն ընդունում է համակցությունը։ Այնուհետև նստաշրջանը գործում է այնքան, մինչև գործարկվի վերաբանակցման ազդակ, որը սկսում է նոր TLS ձեռքսեղմում գոյություն ունեցող թունելի ներսում։ Այդ ձեռքսեղմումը կրկին պահանջում է նույնականացում։ Եթե սերվերի նույնականացման ուղին սպասում է գաղտնաբառ և ընթացիկ մեկանգամյա կոդ, հաճախորդը նոր կոդ չունի առաջարկելու, եթե օգտատերը ներկա չէ այն մուտքագրելու։

Հաճախորդների մեծ մասը նստաշրջանի կեսին հուշում չի բացում, ուստի ձեռքսեղմումը ժամկետանց է դառնում և թունելն ընկնում է։ Օգտատերը տեսնում է վերամիացում, ոչ թե նույնականացման հուշում, և դրա համար էլ առաջին զեկույցը սովորաբար մեղադրում է ցանցին։

auth-gen-token-ը փոխում է, թե ով է պատասխանում երկրորդ հարցին

auth-gen-token տարբերակը թույլ է տալիս սերվերին թոքեն թողարկել հաջող մուտքից հետո, իսկ հետագա վերաբանակցումները ներկայացնում են այդ թոքենը՝ գաղտնաբառն ու կոդը կրկնելու փոխարեն։ Ձեռնարկը նկարագրում է նրա կյանքի տևողությունը և նորացման վարքը, և թոքենին պետք է վերաբերվել որպես վկայականի՝ իր սեփական ժամկետով։ Լռելյայն ուղու վրա սերվերն ինքն է վավերացնում թոքենը՝ արտաքին գաղտնաբառի նույնականացուցիչին նորից դիմելու փոխարեն։

Արտաքին նույնականացման ինտեգրման դեպքում այդ բաժանումը փոխվում է։ Ծավալունը պետք է հասկանա թոքենի վիճակը և կիրառի իր ստուգումները, քանի որ սերվերն այլևս միակ բաղադրիչը չէ, որ որոշում է՝ նստաշրջանը շարունակվում է։ Թոքենին որպես հերթական թվային մեկանգամյա կոդ դիտելը այս գործառույթի իրականացում չէ։

Որոշեք, թե ինչ է լինում հաշվի կարգավիճակին

Հաշվի հասանելիությունից ավելի երկար ապրող թոքենը քաղաքականության անցք է։ Որոշեք, թե ինչպես են ուժի մեջ մտնում անջատված հաշիվը, հեռացված խմբի անդամակցությունը կամ չեղարկված սարքը, մինչ թոքենը դեռ վավեր է։ Կարճ թոքեն-ժամկետները փոքրացնում են պատուհանը. բացահայտ չեղարկման ուղին այն դարձնում է դիտավորյալ։ Գրեք պատասխանը նախքան տարբերակը միացնելը, քանի որ լռելյայն ուղին ամեն վերաբանակցման ժամանակ չի դիմում արտաքին նույնականացուցիչին։

Բազմասերվեր տեղակայման դեպքում թոքենների ստորագրման գաղտնիքը պետք է կիսվի, հակառակ դեպքում հաճախորդը կարող է ուղարկվել հանգույց, որը չի կարող վավերացնել նրա թոքենը։

Փորձարկեք ժամկետը և վերամիացումը, ոչ միայն մուտքը

Փորձնական պրոֆիլում նվազեցրեք վերաբանակցման միջակայքը, որպեսզի երկրորդ ձեռքսեղմումը տեղի ունենա ձեր աչքի առաջ, ապա հետևեք երկու մատյաններին։ Համոզվեք, որ թոքենը թողարկվում է մուտքի պահին, ներկայացվում է բանալու նորացման ժամանակ, և նորացվում կամ նորից թողարկվում է ըստ կարգավորված ժամկետի։ Այնուհետև պարտադրեք թոքենի ժամկետի ավարտ և ամբողջական վերամիացում, քանի որ մաքուր վերամիացող հաճախորդը դեռ կարող է ձախողվել բանալու նորացման ուղու վրա։

Հաշվի հեռացումը փորձարկեք վերջինը։ Այդ դեպքը ձեզ ասում է՝ ձեր գրած քաղաքականությունը կիրառվում է, թե միայն փաստաթղթավորված է։

Մի՛ ուղղեք այն նորացումն անջատելով

Երկու կողմերում վերաբանակցման միջակայքը զրոյի դնելը վերացնում է ախտանիշը և դրա հետ՝ բանալիների պտույտը։ Դա թաքցնում է վկայականների կրկնակի օգտագործման խնդիրը ոչ ոքի չվերանայված քաղաքականության փոփոխության հետևում։ Պահպանեք նորացումը և ընտրեք սերվերի թողարկած թոքենի և նոր ինտերակտիվ մարտահրավերի միջև՝ կախված նրանից, թե արդյոք օգտատերը ներկա է։

Ավելի երկար կրկնափորձի ժամաչափը չի դարձնում ծախսված կոդը նորից վավեր։ Այն միայն հետաձգում է անջատումը և դժվարացնում մատյանի ընթերցումը։