Innskráning í VPN með vottorði á Mac: auðkenni, notkun lykils eða traust á gátt?

Innskráningar í VPN með vottorði biðja Macinn um eitthvað þrengra en lykilorð: notaðu þennan tiltekna einkalykil, í þessu keyrslusamhengi, til að sanna auðkenni gagnvart þeirri gátt. Þegar það mistekst lýsir skilaboðunum venjulega aðeins síðasta hlutnum sem fór úrskeiðis, og hann er sjaldan orsökin. Að fara í gegnum ákvarðanirnar þrjár í þeirri röð sem kerfið tekur þær heldur greiningunni heiðarlegri og kemur í veg fyrir að staðbundið leyfisvandamál sé tekið sem bilun í staðfestingu keðjunnar.

Farðu í gegnum innskráninguna í sömu röð og Macinn gerir

Fyrst velur biðlarinn auðkenni: vottorð ásamt nothæfum einkalykli, í boði í gegnum studda geymslu eða veitanda skilríkja. Síðan biður VPN-hlutinn um að framkvæma dulritunaraðgerð með þeim lykli, og staðbundna heimildarlíkanið svarar. Aðeins eftir að báðar takast hefur fjartengda handtakið sér stað, þar sem Macinn metur gáttina og gáttin metur sönnun biðlarans.

Lestu töfluna ofan frá og niður og stans í fyrstu röðinni sem bregst. Allt fyrir neðan bilun er ósannað, og þess vegna er „vottorðið er ekki treyst” jafn algeng og jafn óáreiðanleg niðurstaða.

Hvað staðbundið leyfi nær í raun yfir

Í lyklakippulíkani macOS bera varin atriði aðgerðasértækar aðgangsreglur og lista yfir treyst forrit. Undirritun með einkalykli er ein slík aðgerð, og reglurnar gilda um keyrsluskrána sem framkvæmir hana, ekki um vottorðið sem skjal. Aðgangsstýringarviðmið Apple dregur einnig línu milli þessa líkans og iCloud-lyklakippu og fyrirkomulags aðgangshópa, þannig að ráð sem skrifuð eru fyrir annað flytjast ekki yfir á hitt.

Tvær afleiðingar fylgja. Það að opinbert vottorð sjáist í lista sannar ekki að bakgrunnshluti VPN geti yfirleitt náð í þann lykil. Og leyfi sem veitt er framendaforriti segir ekkert um aðskilinn hjálpara eða netlengingu, því þau eru annar kóði með önnur auðkenni.

Greindu raunverulegu útfærsluna og studda aðferð hennar við að deila skilríkjum í stað þess að afrita slóð keyrsluskrár úr gömul biðlara. Staðfestu fyrst hvaða auðkenni kerfið muni bjóða upp á:

security find-identity -v -p ssl-client

Að lesa errSecInteractionNotAllowed

Það staða tilkynnir óheimila samskipti við Security Server og segir ekkert um vottorðakeðjur. Lestu hana með aðgerðinni sem framkallaði hana: undirritunarbeiðni sem send er úr samhengi sem getur ekki sýnt glugga mun mistakast þannig, jafnvel þótt lykillinn og vottorðið séu bæði fullkomlega gild. Aðgerðin sem skráði hana, ekki vottorðageymsla, er staðurinn til að byrja á. Allt sem þú breytir varðandi traustfesta heldur villunni nákvæmlega þar sem hún var.

Meðhöndlaðu kóðann því sem ástæðu til að skoða keyrslusamhengi og heimildir. Að líta á hann sem sönnun þess að CA gáttarinnar sé ekki treyst sendir þig í rangann helming vandans, og breytingin sem þú gerir þar hefur engin áhrif á villuna.

Lagaðu þröngt, ekki vítt

Byrjaðu á skráningar- eða innflutningsleiðbeiningum eiganda tengingarinnar. Skráðu útgáfu biðlarans, umfang sniðsins, valið auðkenni og fyrstu viðeigandi staðbundnu villuna, því þessar fjórar staðreyndir eru það sem afhending til stuðnings þarf og sem síðari samanburður byggir á. Stýrt snið eða auðkenni studd vélbúnaði getur krafist þess að stjórnandi eða þjónustuveitandi lagfæri afhendinguna, og enginn fjöldi staðbundinna smella kemur í staðinn fyrir það.

Þar sem varan ætlast til samþykkis notanda skaltu staðfesta hvaða hluti biður og samþykkja aðeins þann aðgang í gegnum studda ferlið. Þar sem hlutinn hefur enga leið til að kalla fram glugga í því samhengi sem hann keyrir í verður uppsetningin að fylgja leiðinni sem seljandinn skjalfestir, ekki glugga sem dreginn er út úr einhverjum öðrum flugstöðvarhlugga.

Tvær breytingar eru settar saman í eldri ráðum, og báðar eru of víðtækar. Að veita hverju forriti aðgang að einkalyklinum víkkar staðbundna lykilnotkun langt út fyrir kröfuna, og að setja vottorðið á Always Trust breytir vottorðamati fyrir allt á vélinni. Hvorug þeirra lýsir „þessari samþykktu VPN-útfærslu, með þessu ætlaða auðkenni”.

Athugaðu staðbundið áður en þú lest gáttina

Eftir lagfæringu skaltu staðfesta að staðbundna aðgerðin takist áður en þú túlkar nokkur svör frá hinum endanum. Ef undirritun virkar núna er síðari synjun á nafni, keðju eða inngöngu biðlara ný niðurstaða en ekki endurtekning, og hún tilheyrir annarri ákvörðun með öðrum eiganda.

Gagnleg afhending nefnir hverja af ákvörðununum þremur brást og stansar þar. Hún inniheldur aldrei einkalykilinn og endurstillir aldrei ótengd lyklakippuatriði í von um að hreint borð hjálpi. Festu þessar tvær venjur fyrir atvikið frekar en á meðan því stendur, þegar freistingin að prófa allt í einu er sterkust. Miði sem segir „lyklakippan endurbyggð” segir næsta lesanda næstum ekkert um upprunalegu bilunina.