ಟೋಕನ್ಗೆ OpenConnect ಗೆ ಯಾವ PKCS#11 URI ಬೇಕು?

ಸರಿಯಾದ ಕೀಲಿಯನ್ನು ಈಗಾಗಲೇ ಹೊಂದಿರುವ ಸ್ಮಾರ್ಟ್ ಕಾರ್ಡ್ ಕೂಡ ಅದರ ಮೇಲೆ ಯಾವ ವಸ್ತುವನ್ನು ಬಳಸಬೇಕೆಂದು ತಿಳಿಸಬೇಕು. ಆ ಸಂದರ್ಭದಲ್ಲಿ OpenConnect ನಕಲಿಸಿದ .key ಫೈಲ್ ಬಯಸುವುದಿಲ್ಲ; ಅದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೆಸರಿಸುವ PKCS#11 URI ಬಯಸುತ್ತದೆ ಮತ್ತು ಸ್ವಯಂಚಾಲಿತ ಹುಡುಕಾಟ ಕೆಲಸ ಮುಗಿಸಲಾಗದಿದ್ದಾಗ ಪಕ್ಕದಲ್ಲಿರುವ ಖಾಸಗಿ ಕೀಲಿಯನ್ನೂ ಬಯಸುತ್ತದೆ. ಕಿರಿಕಿರಿಯ ವಿಷಯ ಎಂದರೆ ವ್ಯಾಕರಣದ ದೃಷ್ಟಿಯಿಂದ ಮಾನ್ಯವಾದ URI ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಅದು ಗೇಟ್ವೇ ಈಗಾಗಲೇ ನಂಬುವ ನೋಂದಣಿಯನ್ನು ಹೆಸರಿಸಬೇಕು, ಕಾರ್ಡ್ ತೆರೆಯಲು ಸಿದ್ಧವಿರುವ ವಸ್ತುವನ್ನಷ್ಟೇ ಅಲ್ಲ.

ರಫ್ತು ಮಾಡಿದ ಕೀಲಿಯ ಬದಲು ಕ್ಲೈಂಟ್ ಏನು ಬಯಸುತ್ತದೆ

-c ಆಯ್ಕೆ ಸಾಮಾನ್ಯವಾಗಿ ಫೈಲ್ ಮಾರ್ಗವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಆದರೆ ಮೌಲ್ಯವನ್ನು PKCS#11 URI ಎಂದು ಪಾರ್ಸ್ ಮಾಡಿದಾಗ, OpenConnect ಅದನ್ನು ಡಿಸ್ಕ್ನಲ್ಲಿನ ಫೈಲ್ಗೆ ಬದಲು ಟೋಕನ್ ಒಳಗಿನ ವಸ್ತುವಿನ ಉಲ್ಲೇಖವೆಂದು ಪರಿಗಣಿಸುತ್ತದೆ. -k ಆಯ್ಕೆ ಖಾಸಗಿ ಕೀಲಿಗೆ ಅದೇ ರೀತಿ ವರ್ತಿಸುತ್ತದೆ. ಏನೂ ರಫ್ತಾಗುವುದಿಲ್ಲ ಮತ್ತು ಕೀಲಿ ಕಾರ್ಡ್ ನೀಡುವ ರಕ್ಷಣೆಯನ್ನು ಎಂದಿಗೂ ಬಿಡುವುದಿಲ್ಲ. ಕ್ಲೈಂಟ್ ನಿಮ್ಮಿಂದ ಬಯಸುವುದು ಟೋಕನ್ ಮಾಡ್ಯೂಲ್, ಪ್ರಮಾಣಪತ್ರ ಸಂಗ್ರಹ ಮತ್ತು ಗೇಟ್ವೇ ನೋಂದಣಿ ಒಪ್ಪುವ ಹೆಸರು.

ಹೆಚ್ಚಿನ ಪ್ರಯತ್ನಗಳು ನಿಲ್ಲುವುದು ಈ ಕೊನೆಯ ನಿರ್ಬಂಧದಲ್ಲೇ. URI ಸಂಪೂರ್ಣವಾಗಿ ಸರಿಯಾಗಿ ರಚನೆಯಾಗಿದ್ದರೂ ಗೇಟ್ವೇ ತಿರಸ್ಕರಿಸುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಆಯ್ಕೆ ಮಾಡಬಹುದು, ಏಕೆಂದರೆ ಮಾನ್ಯತೆ ಮತ್ತು ಪ್ರಸ್ತುತತೆ ಬೇರೆ ಬೇರೆ ಪ್ರಶ್ನೆಗಳು. ಮಾಡಲು ಯೋಗ್ಯವಾದ ಪರಿಶೀಲನೆ ಎಂದರೆ ನೋಂದಣಿ ದಾಖಲೆಯೊಂದಿಗೆ ಹೋಲಿಕೆ, ಆಕಸ್ಮಿಕವಾಗಿ ತೆರೆಯುವ ಮೊದಲ ವಸ್ತುವನ್ನು ಹುಡುಕುವುದಲ್ಲ.

ಎರಡು URI, ಎರಡು ವಿಭಿನ್ನ ಕೆಲಸಗಳು

ಪ್ರಮಾಣಪತ್ರದ URI ನೀವು ಯಾವ ಗುರುತನ್ನು ಪ್ರತಿಪಾದಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ. ಅದು ಸಾರ್ವಜನಿಕ ಕೀಲಿ ಮತ್ತು ವಿಷಯ ಸಾಲು VPN ನಿರ್ವಾಹಕರು ನೀಡಿದ ಖಾತೆ ಅಥವಾ ಸಾಧನ ಪ್ರೊಫೈಲ್ಗೆ ಹೊಂದುವ ಪ್ರಮಾಣಪತ್ರ ವಸ್ತುವನ್ನು ಸೂಚಿಸುತ್ತದೆ. ಅದೇ ಪ್ರಮಾಣಪತ್ರ ಸಾಮಾನ್ಯವಾಗಿ ಪಕ್ಕದಲ್ಲಿ ಸಂಗ್ರಹಿಸಿದ ಖಾಸಗಿ ಕೀಲಿ ವಸ್ತುವಿನೊಂದಿಗೆ ಬರುತ್ತದೆ, ಮತ್ತು TLS ಹಸ್ತಲಾಘವಕ್ಕೆ ನಿಜವಾಗಿ ಬೇಕಾಗಿರುವುದು ಆ ಜೋಡಿ.

ಕೀಲಿಯ URI OpenConnect ನಿರ್ಣಯಿಸಲಾಗದಿದ್ದಾಗ ಹೊಂದುವ ಖಾಸಗಿ ಸಾಮಗ್ರಿ ಎಲ್ಲಿದೆ ಎಂಬುದಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ. ಕೇವಲ -c ಸೆಟ್ ಆಗಿದ್ದಾಗ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರದ ಗುಣಲಕ್ಷಣಗಳಿಂದ ಕೀಲಿ-ಹುಡುಕಾಟವನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ; -k ನೀಡುವುದು ಊಹೆಯನ್ನು ಸ್ಪಷ್ಟ ವಸ್ತು ಉಲ್ಲೇಖದಿಂದ ಬದಲಾಯಿಸುತ್ತದೆ. ಟೋಕನ್ನ PIN ಮೂರನೆಯ, ಸಂಬಂಧವಿಲ್ಲದ ಇನ್ಪುಟ್: ಅದು ಕ್ರಿಯೆಗಾಗಿ ಕಾರ್ಡ್ ತೆರೆಯುತ್ತದೆ ಮತ್ತು ಎಂದಿಗೂ ವಸ್ತುವನ್ನು ಗುರುತಿಸುವುದಿಲ್ಲ.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

ಆ ಉಲ್ಲೇಖಿತ ಸ್ಟ್ರಿಂಗ್ನಲ್ಲಿರುವುದೆಲ್ಲ ಡೇಟಾ. ಅರ್ಧವಿರಾಮಗಳು URI ಗುಣಲಕ್ಷಣಗಳನ್ನು ಬೇರ್ಪಡಿಸುತ್ತವೆ ಮತ್ತು ಶೇಕಡಾ-ಎಸ್ಕೇಪ್ಗಳು ಪಾರ್ಸಿಂಗ್ ಮುರಿಯುವ ಅಕ್ಷರಗಳನ್ನು ಎನ್ಕೋಡ್ ಮಾಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಇಡೀ ಆರ್ಗ್ಯುಮೆಂಟ್ ಶೆಲ್ನಿಂದ ಅಕ್ಷತವಾಗಿ ಹೊರಬರಬೇಕು.

ನಿಮ್ಮ ನೋಂದಣಿಗೆ ಹೊಂದುವ URI ಹುಡುಕುವುದು

GnuTLS ಜೊತೆಗೆ p11tool ಬರುತ್ತದೆ, ಅದು ಪ್ರಸ್ತುತ ಬಳಕೆದಾರ p11-kit ಮೂಲಕ ನಿಜವಾಗಿ ಏನನ್ನು ತಲುಪಬಹುದೆಂದು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. p11tool --list-tokens ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ನಂತರ ನಿಮಗೆ ಮುಖ್ಯವಾದ ಟೋಕನ್ನಲ್ಲಿನ ಪ್ರಮಾಣಪತ್ರ ವಸ್ತುಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ. ವಸ್ತುಗಳು PIN ನಂತರವೇ ಕಾಣಿಸಿದರೆ --login ಸೇರಿಸಿ, ಮತ್ತು ಮೊದಲು ಕಾಣಿಸುವುದನ್ನು ಆರಿಸುವ ಬದಲು ವಿಷಯ ಮತ್ತು ನೀಡಿದವರನ್ನು ನೋಂದಣಿ ದಾಖಲೆಯೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಟೋಕನ್ ಸಂಪೂರ್ಣವಾಗಿ ಕಾಣದಿದ್ದರೆ, ಸಮಸ್ಯೆ OpenConnect ನ ಕೆಳಗಿದೆ: p11-kit ನಲ್ಲಿ ಆ ಮಿಡಲ್ವೇರ್ಗೆ ನೋಂದಾಯಿತ ಮಾಡ್ಯೂಲ್ ಇಲ್ಲ, ಅಥವಾ ಮಾಡ್ಯೂಲ್ ಬೇರೆ ಖಾತೆಗೆ ನೋಂದಾಯಿತವಾಗಿದೆ. ವ್ಯವಸ್ಥೆ-ವ್ಯಾಪಿ ನೋಂದಣಿ /etc/pkcs11/modules ಅಡಿಯಲ್ಲಿದೆ, ಮತ್ತು ಪ್ರತಿ-ಬಳಕೆದಾರ ಕೋಶವು ವ್ಯವಸ್ಥೆ ಪ್ರತಿಯನ್ನು ಮುಟ್ಟದೆ ಅದನ್ನೇ ಇಟ್ಟುಕೊಳ್ಳಬಹುದು. ಮಾಡ್ಯೂಲ್ ಫೈಲ್ನಲ್ಲಿನ ಪೂರೈಕೆದಾರ ಮಾರ್ಗವು ಓದುಗರ ತಂತ್ರಾಂಶ ನಿಜವಾಗಿ ಸ್ಥಾಪಿಸಿದ ಗ್ರಂಥಾಲಯಕ್ಕೆ ತೋರಿಸುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ.

ಪಟ್ಟಿಯಿಂದ URI ನಕಲಿಸುವಾಗ ಅದರ ಸುತ್ತಲಿನ ಉಲ್ಲೇಖ ಚಿಹ್ನೆಗಳನ್ನು ಇಡಿ. ಉಲ್ಲೇಖವಿಲ್ಲದ ಅರ್ಧವಿರಾಮಗಳು ಆರ್ಗ್ಯುಮೆಂಟನ್ನು ಮೊದಲ ಗುಣಲಕ್ಷಣದಲ್ಲೇ ಕತ್ತರಿಸುತ್ತವೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ನಂತರ ಹುಡುಕಲಾಗದ ವಸ್ತುವಿನ ಬಗ್ಗೆ ವರದಿ ಮಾಡುತ್ತದೆ.

ಸ್ವಯಂಚಾಲಿತ ಕೀಲಿ-ಹುಡುಕಾಟ ಬಿಟ್ಟುಕೊಡುವಾಗ

OpenConnect ಪ್ರಮಾಣಪತ್ರದ URI ಯಿಂದ ಕೀಲಿ-ಹುಡುಕಾಟವನ್ನು ಪಡೆಯಬಹುದು, ಆದರೆ ಅದು ಮಾಡುವ ನಿಖರ ಹೊಂದಾಣಿಕೆ ಆವೃತ್ತಿಯನ್ನು ಅವಲಂಬಿಸಿದೆ, ಮತ್ತು ವಸ್ತು ಪ್ರಕಾರ ಹಾಗೂ ಲೇಬಲ್ ನಿರ್ವಹಣೆ ಕಾಲದೊಂದಿಗೆ ಬದಲಾಗಿದೆ. ಕೆಲಸ ಮಾಡುವವರೆಗೆ URI ಚಿಕ್ಕದಾಗಿಸಿ ಎಂಬ ಸಲಹೆ ಹಳೆಯ ಪರ್ಯಾಯ ಮಾರ್ಗವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಅಗತ್ಯವನ್ನಲ್ಲ. ಪಡೆದ ಹುಡುಕಾಟ ವಿಫಲವಾದರೆ, ಪ್ರಮಾಣಪತ್ರದ URI ಅನ್ನು ಇನ್ನಷ್ಟು ಅಸ್ಪಷ್ಟವಾಗಿಸುವ ಬದಲು -k ನಿಂದ ಕೀಲಿಯನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಹೆಸರಿಸಿ.

ಕ್ಲೈಂಟ್ಗೆ ದೋಷ ಹೇರುವ ಮೊದಲು ಕೀಲಿ ಇದೆ ಮತ್ತು p11tool --list-keys ನಿಂದ ಕಾಣುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ. ನಂತರ ವಸ್ತುವು ಸಹಿ ಅಥವಾ ಡೀಕ್ರಿಪ್ಶನ್ಗೆ ಬಳಸಬಹುದೆಂದು ಗುರುತಿಸಲಾಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ತಪ್ಪು ಗುಣಲಕ್ಷಣಗಳಿಂದ ರಚಿಸಿದ ಕೀಲಿ URI ಎಷ್ಟೇ ಸರಿಯಾಗಿದ್ದರೂ ಹಸ್ತಲಾಘವ ಪೂರ್ಣಗೊಳಿಸಲಾರದು. OpenVPN ಪ್ರೊಫೈಲ್ನ ಸೀರಿಯಲ್ ಮಾಡಿದ pkcs11-id ಮೌಲ್ಯವನ್ನು OpenConnect ಆಯ್ಕೆಗೆ ವರ್ಗಾಯಿಸಬೇಡಿ; ಒಂದೇ ಕಾರ್ಡ್ನೊಂದಿಗೆ ಮಾತನಾಡುವಾಗಲೂ ಎರಡು ಕ್ಲೈಂಟ್ಗಳು ಬೇರೆ ಬೇರೆ ಗುರುತಿಸುವ ಸ್ವರೂಪಗಳನ್ನು ಬಳಸುತ್ತವೆ.

URI ಪರಿಹಾರವಾಗಿ PIN ಸ್ವೀಕೃತವಾದರೂ ದೃಢೀಕರಣ ವಿಫಲವಾದರೆ, URI ಟ್ಯೂನ್ ಮಾಡುವುದನ್ನು ನಿಲ್ಲಿಸಿ. ಗೇಟ್ವೇಯ ಸ್ವಂತ ದೋಷವನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ವೈಫಲ್ಯ ಟೋಕನ್ನ ಮೇಲಿದೆ.

URI ಸಮಸ್ಯೆಗಳಂತೆ ಮಾತ್ರ ಕಾಣುವ ವೈಫಲ್ಯಗಳು

ಬೇರೆ ಪ್ರೋಟೋಕಾಲ್ ಮಾತನಾಡುವ ಗೇಟ್ವೇ ನಿಮ್ಮ URI ಸರಿಯಾಗಿರಲಿ ತಪ್ಪಾಗಿರಲಿ ಒಂದೇ ರೀತಿ ವಿಫಲವಾಗುತ್ತದೆ. OpenConnect ಹಳೆಯ vpnc ಕ್ಲೈಂಟ್ ಅನ್ನು ಒಂದು ಕಾರಣಕ್ಕೆ ಬದಲಾಯಿಸಿತು, ಮತ್ತು ಕಾರ್ಡ್ ಬೆಂಬಲವು ಅಸಂಗತ ಗೇಟ್ವೇ ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನು ಸಂಗತಗೊಳಿಸುವುದಿಲ್ಲ. ವಸ್ತುವಿನ ಗುಣಲಕ್ಷಣಗಳ ಮೇಲೆ ಇನ್ನೊಂದು ಗಂಟೆ ಕಳೆಯುವ ಮೊದಲು ಸರ್ವರ್ನ ನಿರೀಕ್ಷಿತ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ದೃಢೀಕರಣದ ವ್ಯವಸ್ಥೆಯನ್ನು ದೃಢೀಕರಿಸಿ.

ಸರ್ವರ್ ಗುರುತಿನ ಪರಿಶೀಲನೆಯೂ ಪ್ರತ್ಯೇಕ ಪದರ. ಕ್ಲೈಂಟ್ ಗೇಟ್ವೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತನ್ನ ವಿಶ್ವಾಸ ಸಂಗ್ರಹದ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಪರಿಶೀಲನೆ ಕಾರ್ಡ್ ತನ್ನ ಭಾಗವನ್ನು ಈಗಾಗಲೇ ಮುಗಿಸಿದ ನಂತರ ನಡೆಯುತ್ತದೆ. ಓದುಗರ ಅನುಮತಿಗಳು ಮತ್ತು ನಿಂತಿರುವ pcscd ಸೇವೆ ಒಂದೇ ಬಾಹ್ಯ ಲಕ್ಷಣವನ್ನು ಉಂಟುಮಾಡುತ್ತವೆ, ಓದಲಾಗದ ಟೋಕನ್, ಆದರೆ ಪರಿಹಾರ ಬಹಳ ಸುಲಭ.

ವಸ್ತುವಿನಿಂದ ಹೊರಕ್ಕೆ ಕೆಲಸ ಮಾಡಿ: p11tool ಟೋಕನ್ ನೋಡುತ್ತದೆಯೇ, ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀಲಿಯನ್ನು ನೋಡುತ್ತದೆಯೇ, OpenConnect URI ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ, ಮತ್ತು ಆಮೇಲಷ್ಟೇ ಗೇಟ್ವೇ ಗುರುತನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ ಎಂದು ಕೇಳಿ. ಪ್ರತಿ ಹಂತಕ್ಕೂ ತನ್ನದೇ ದೋಷ ಸಂದೇಶವಿದೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ಮುಂದಿನದಕ್ಕಿಂತ ಪರೀಕ್ಷಿಸಲು ಅಗ್ಗವಾಗಿದೆ.