Hvaða PKCS#11 URI þarf OpenConnect fyrir tákn?

Snjallkort sem geymir þegar rétta lykilinn þarf samt að fá að vita hvaða hlut á því á að nota. OpenConnect vill ekki afritaða .key skrá í þeirri stöðu; það vill PKCS#11 URI sem nefnir skírteinið og, þegar sjálfvirka leitin getur ekki lokið verkinu, einkalykilinn við hliðina. Það vandræðalega er að formlega gildur URI sannar ekkert. Hann verður að nefna skráninguna sem hliðið treystir þegar, ekki bara hlut sem kortið er reiðubúið að opna.

Hvað viðskiptavinurinn vill í stað útflutts lykils

-c valkosturinn tekur venjulega slóð að skrá, en þegar gildið er greint sem PKCS#11 URI meðhöndlar OpenConnect það sem tilvísun í hlut inni í tákninu frekar en í skrá á disknum. -k valkosturinn hegðar sér á sama hátt fyrir einkalykilinn. Ekkert er flutt út og lykillinn yfirgefur aldrei þá vernd sem kortið veitir. Það sem viðskiptavinurinn þarf frá þér er nafn sem táknmátan, skírteinageymslan og skráning hliðsins eru sammála um.

Það er á þessari síðustu takmörkun sem flestar tilraunir stöðvast. URI getur verið fullkomlega vel formaður og samt valið skírteini sem hliðið mun hafna, því gildi og mikilvægi eru aðskildar spurningar. Athugunin sem er þess virði er samanburður við skráningarfærsluna, ekki leit að fyrsta hlutnum sem opnast fyrir tilviljun.

Tveir URI, tvö mismunandi verk

URI skírteinisins svarar því hvaða auðkenni þú gerir tilkall til. Hann bendir á skírteinishlut þar sem opinberi lykillinn og efnislínan passa við reiknings- eða tækjaprófílinn sem VPN-stjórnandinn gaf út. Sama skírteinið kemur venjulega með einkalykilshlut sem er geymdur við hliðina, og það par er það sem TLS-handabandið þarf í raun.

URI lykilsins svarar því hvar samsvarandi einkamaterialið er þegar OpenConnect getur ekki ályktað það. Með aðeins -c stilltu byggir viðskiptavinurinn lykilleit út frá eiginleikum skírteinisins; að gefa -k kemur í stað ágiskunar með skýrri tilvísun í hlut. PIN táknsins er þriðja, ótengda inntakið: það opnar kortið fyrir aðgerðina og auðkennir aldrei hlut.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Allt í þeirri gæsalappasettu streng er gögn. Semíkólonin aðskilja eiginleika URI og prósentuflóttarnir kóða stafi sem myndu annars brjóta greininguna, svo allt rökin verða að komast ósködduð í gegnum skelina.

Finna URI sem passar við skráninguna þína

GnuTLS kemur með p11tool, sem listar hvað núverandi notandi getur raunverulega náð í gegnum p11-kit. Byrjaðu á p11tool --list-tokens og listaðu síðan skírteinishlutina á tákninu sem þú hefur áhuga á. Bættu við --login þegar hlutirnir birtast aðeins eftir PIN, og berðu efnið og útgefandann saman við skráningarfærsluna í stað þess að velja það sem birtist fyrst.

Ef táknið birtist alls ekki liggur vandinn fyrir neðan OpenConnect: p11-kit hefur ekkert skráð einingu fyrir þetta millilag, eða einingin er skráð fyrir annan reikning. Skráning á kerfisstigi er undir /etc/pkcs11/modules, og mappa fyrir hvern notanda getur innihaldið það sama án þess að snerta afrit kerfisins. Athugaðu að slóð veitandans í einingarskránni bendi á bókasafn sem hugbúnaður lesandans setti raunverulega upp.

Þegar þú afritar URI úr listanum skaltu halda gæsalöppunum utan um hann. Semíkólon án gæsalappa stytta rökin við fyrsta eiginleikann og viðskiptavinurinn tilkynnir þá hlut sem hann finnur ekki.

Þegar sjálfvirka lykilleitin gefst upp

OpenConnect getur leitt lykilleit út frá URI skírteinisins, en nákvæma samsvörunin sem það gerir fer eftir útgáfunni, og meðferð hlutar tegundar og merkis hefur breyst með tímanum. Ráð sem segja þér að stytta URI þar til hann virkar lýsa gömlum vafningsleið, ekki kröfu. Ef leidda leitin mistekst skaltu nefna lykilinn skýrt með -k í stað þess að breyta URI skírteinisins í eitthvað óljósara.

Staðfestu að lykillinn sé til og sýnilegur með p11tool --list-keys áður en þú kennir viðskiptavininum um. Athugaðu síðan að hluturinn sé merktur sem nothæfur til undirritunar eða afkóðunar, því lykill sem var búinn til með röngum eiginleikum getur ekki lokið handabandi, sama hversu réttur URI er. Ekki flytja raðað pkcs11-id gildi úr OpenVPN prófílnum yfir í OpenConnect valkost; viðskiptavinirnir tveir nota mismunandi auðkennissnið, jafnvel þótt þeir tali við sama kortið.

Ef URI leysist og PIN er samþykkt en auðkenning mistekst samt, hættu að stilla URI. Lestu villu hliðsins sjálfs, því næsta bilun er ofar tákninu.

Bilanir sem líta bara út eins og URI-vandamál

Hlið sem talar aðra samskiptareglu mun mistakast á sama hátt hvort sem URI er réttur eða rangur. OpenConnect skipti út gamla vpnc viðskiptavininum af ástæðu, og kortstuðningur gerir ósamhæfa hliðarsamskiptareglu ekki samhæfa. Staðfestu vænta samskiptareglu þjónsins og fyrirkomulag auðkenningar áður en þú eyðir annarri klukkustund í eiginleika hlutarins.

Staðfesting auðkennis þjónsins er líka sérstakt lag. Viðskiptavinurinn sannreynir skírteini hliðsins gegn traustageymslu sinni, og sú athugun keyrir eftir að kortið hefur þegar gert sitt. Leyfi lesandans og stöðvuð pcscd þjónusta framleiða sömu ytri einkennin, ólæsilegt tákn, með miklu einfaldari lagfæringu.

Vinnaðu út frá hlutnum: sér p11tool táknið, sér það skírteinið og lykilinn, samþykkir OpenConnect URI, og spurðu aðeins þá hvort hliðið samþykki auðkennið. Hvert skref hefur sína villuskilaboð og hvert er ódýrara að prófa en það næsta.