Fyrst EAP-aðferðin: hvaða lykilorðs-hash getur VPN notað
VPN sannreynir leyndarmálið, ekki vefhash-ið. Lestu aðferðina og skoðaðu síðan hvað geymslan heldur áður en þú lofar að sömu lykilorð muni halda áfram að virka.
Mörg teymi eru með vefinnskráningu sem virkar og VPN sem hafnar hverju lykilorði úr sömu töflunni. Vefforritið ber saman hash sem það reiknaði sjálft, á meðan göngin biðja biðlarann að sanna eign á leyndarmáli á þann hátt að þjónninn verði að geta sannreynt það. Þetta eru ólíkar kröfur til geymda efnisesins. Einmitt í bilinu þar á milli stranda flest þessara verkefna.
Lestu aðferðina, síðan skemað
Skrifaðu niður hvaða sönnun valda aðferðin krefst áður en þú lítur á nokkurt skema. Áskorunar-og-svarsaðferð þarf efni sem þjónninn getur reiknað vænt svar út frá, sem í reynd þýðir lykilorðið eða samhæft afleitt form. Aðferð sem ber lykilorðið inni í varðveittum göngum þarf lykilorðið sjálft hjá sannprófandanum. Lestu skjöl aðferðarinnar vegna kröfunnar um sannprófandann en ekki vegna stillinga biðlarans, því kröfur biðlarans eru venjulega auðveldi hlutinn.
Saltað hash sem nútíma veframmi framleiðir veitir hvorugt. Það sannreynir einn tiltekinn samanburð og er ekki hægt að snúa því aftur í leyndarmálið sem það kom úr.
Áskorun-og-svar getur ekki notað saltað hash
MSCHAPv2 er áskorunar-og-svars skipti, þannig að þjónninn fær aldrei lykilorðið og getur ekki borið saman geymdan streng. Hann verður að leiða vænt svar af efni sem hann hefur þegar, og þess vegna eru samhæfðu geymdu formin svo þröng. Gildi bcrypt eða Argon2 með sali fyrir hvern notanda er einstefnu á þann hátt að það útilokar skiptin algjörlega. Taflan hér að neðan byrjar á geymsluforminu en ekki nafni aðferðarinnar, því geymsluformið ræður svarinu.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Skjöl SQL-viðbótarinnar fyrir strongSwan skilgreina eigið skema fyrir stillingar og auðkenni, og verkefnið merkir þá viðbót enn sem tilraunakennda. Ekkert í þeim lagar sig að notendatöflu forrits né giskar á hvaða hashkerfi framleiddi geymt gildi. Raunhæfir valkostir eru því flutningur í geymslu sem hliðið getur notað, eða auðkenningarþjónusta fyrir framan núverandi geymslu sem getur framkvæmt skiptin. Allt annað er tengi með földu forsendu inni í sér.
RADIUS færir vinnuna, ekki kröfuna
Að framselja EAP til RADIUS-þjóns breytir því hvar sannreynslan fer fram og bætir venjulega úttektarslóðina. Það nær ekki lykilorði aftur úr einstefnu-hash, svo auðkenningarþjónustan þarf enn efni sem samhæfist aðferðinni sem hún lýkur. Teymin komast að þessu eftir að hafa byggt RADIUS-leiðina og rekist á sama vegginn hinum megin.
Þar sem RADIUS-þjónninn getur lesið skrá sem heldur samhæfðu auðkenni virkar hönnunin og VPN-hliðið helst einfalt. Þar sem hann getur það ekki er heiðarlegt svar breyting á skráningu frekar en annað tengi. Úthlutun og afturköllun tilheyra þeim sem á auðkennið, svo afrituð tafla án studds samstillingarferlis er annar lífsferill auðkenna frekar en ein innskráning. Hún rekst í sundur í fyrsta skipti sem einhver endurstillir lykilorð á einum stað, og sundrungin er hljóðlát þar til reikningur sem er í báðum kerfum hagar sér öðruvísi í hvoru um sig.
Takmarkaðu reikninginn sem les skrána við þá lestur einan og hafðu hann aðskilinn frá reikningnum sem hliðið notar fyrir eigin stillingar. Sameiginlegur stjórnunareikningur breytir leseingöngu-hönnun í mun víðtækari áhrifasvið.
Hvar reikningurinn ætti að búa
Þegar búið er að leysa efnis-spurninguna standa eftir tvær arkitektúr. Hliðið getur átt litla geymslu auðkenna sem aðeins það les, eða framselt auðkenningarþjónustu sem stendur fyrir framan fyrirtækjaskrána.
Fyrri er auðveldari í hugsun og verri fyrir notandann, sem endar með annað lykilorð til að halda við. Seinni heldur einu auðkenni og bætir við ósjálfstæði frá þjónustu sem nú verður að vera í gangi áður en nokkur getur tengst. Hvorugt er rangt, en valið ætti að skrá við hlið hliðsstillinganna, því annars mun næsti verkfræðingur gera ráð fyrir að hitt hafi verið valið. Hvað sem þú velur, skipanalínurnar tvær hér að neðan sýna núverandi ástand áður en þú breytir því.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsReikningsauðkenning leysir heldur ekki heimildir. Hópmeðlimir, ástand tækisins og netheimild þurfa enn skýra vörpun eftir að notandinn hefur sannað tilskylda auðkennið. Tenging sem auðkennist fullkomlega og heimilar ekkert er útkoma stefnu, ekki galli í aðferðinni.