OpenVPN sleppir OTP-lotu seinna: hvað endurvottun þarf

Frá sjónarhóli biðlarans lítur þetta út eins og handahófskennd aftenging klukkustund inn í vinnandi lotu. Táknið í bakkanum hverfur, göngin eru endurgerð og annállinn sýnir vottunarbilun frekar en netvilla. Það sem raunverulega gerðist er að lotan endursamdi og önnur handsala þurfti skilríki sem biðlarinn átti ekki lengur gilt eintak af. Einskiptiskóði sem virkaði við innskráningu getur ekki virkað aftur, svo lyklanýjunin mistekst nákvæmlega eins og hún var hönnuð.

Lagfæringin er ákvörðun um hvað önnur handsalan eigi að leggja fram, ekki lengri endurtilraunartími.

Fylgdu skiptunum frá sjónarhóli biðlarans

Við innskráningu sendir biðlarinn notandanafnið, lykilorðið og kóða úr táknbúnaðinum, og netþjónninn samþykkir samsetninguna. Lota gengur síðan þar til kveikja endursamninga virkjast, sem hefur nýja TLS-handsölu inni í núverandi göngum. Sú handsala biður aftur um vottun. Ef vottunarslóð netþjónsins væntir lykilorðs auk gildandi einskiptiskóða hefur biðlarinn engan nýjan kóða að bjóða nema notandinn sé viðstaddur til að slá einn inn.

Flestir biðlarar opna ekki kvaðningu mitt í lotu, svo handsalan rennur út og göngin falla. Notandinn sér endurtengingu, ekki vottunarkvaðningu, og þess vegna kenna fyrstu skýrslurnar venjulega netinu um.

auth-gen-token breytir því hver svarar seinni spurningunni

auth-gen-token er valkosturinn sem leyfir netþjóninum að gefa út tákn eftir árangursríka innskráningu, og síðari endursamningar leggja það tákn fram í stað þess að endurtaka lykilorðið og kóðann. Handbókin skjalfestir líftíma þess og endurnýjunareiginleika, og líta verður á táknið sem skilríki með eigin gildistíma. Á sjálfgefinni slóð sannreynir netþjónninn táknið sjálfur í stað þess að kalla aftur á ytri lykilorðasannvottun.

Með ytri vottunarinnleiðingu breytist þessi skipting. Viðbótin verður að skilja stöðu táknsins og beita eigin prófunum, því netþjónninn er ekki lengur eina einingin sem ákveður hvort lotan heldur áfram. Að meðhöndla táknið sem enn einn tölulegan einskiptiskóða er ekki útfærsla á þessum eiginleika.

Ákveddu hvað verður um stöðu reikningsins

Tákn sem lifir aðgang reiknings er gat í stefnunni. Ákveddu hvernig óvirkjaður reikningur, fjarlægt hópmeðlimur eða afturkallað tæki taka gildi meðan táknið er enn gilt. Stuttur líftími tákna minnkar gluggann; skýr afturköllunarslóð gerir hann viljandi. Skrifaðu svarið niður áður en þú virkjar valkostinn, því sjálfgefna slóðin leitar ekki til ytri sannvottunar við hverja endursamningu.

Í uppsetningu með mörgum netþjónum verður að deila undirskriftarleynd táknsins, annars getur biðlarinn verið sendur á hnút sem getur ekki sannreynt táknið hans.

Prófaðu gildislok og endurtengingu, ekki bara innskráningu

Lækkaðu endursamningsbilið í prófprófíli svo önnur handsalan eigi sér stað á meðan þú fylgist með, og fylgdu svo báðum annálum. Staðfestu að táknið sé gefið út við innskráningu, lagt fram við lyklanýjun og endurnýjað eða gefið út aftur samkvæmt stilltum líftíma. Þvingaðu svo fram gildislok táknsins og fulla endurtengingu, því biðlari sem tengist aftur hreint getur samt mistekist á lyklanýjunarslóðinni.

Prófaðu fjarlægingu reiknings síðast. Það tilfelli segir þér hvort stefnan sem þú skrifaðir sé framfylgt eða aðeins skjalfest.

Ekki laga það með því að slökkva á endurnýjun

Að setja endursamningsbilið á núll á báðum endum fjarlægir einkennið og lyklaveltuna með því. Það felur vandamál með endurnotkun skilríkja bakvið stefnubreytingu sem enginn fór yfir. Haltu endurnýjuninni og veldu milli tákns frá netþjóninum og ferskrar gagnvirkrar áskorunar eftir því hvort notandi er viðstaddur.

Lengri endurtilraunartími gerir ekki eyttan kóða gildan aftur. Hann tefur aðeins aftenginguna og gerir annálinn erfiðari að lesa.