OpenConnect csd-wrapper: audit d’Skript virum Login

D’Derbäisetze vun --csd-wrapper an e Profil gëtt eng lokal Skript un en Daemon deen se beim Login ausféiert, also ass d’Entscheedung virun Iech eng Codeprüfung, net en Astellschalter. D’Optioun gëtt et fir datt d’Host-Check-Komponent vum Gateway kann ersat ginn, an se hëlt e Wee op eng Skript déi Dir ubitt. Alles hei drënner geet dovun aus datt den Eegentemer vun der Ausrollung schonn gesot huet wéi eng Postur-Prüfung néideg ass; wann deen Deel nach oppen ass, entscheet et d’éischt. Den Hännbuch huet véier Schrëtt: fënnt de Schrëtt deen d’Feeler gemaach huet, liest d’Skript, wielt d’Identitéit ënner där se leeft, a beweist d’Resultat.

Schrëtt 1: Fënnt de Schrëtt deen d’Feeler gemaach huet

D’lescht Noriicht vum Client geet meeschtens ëm e Cookie, dat ass d’Enn vun enger Kette an net den Ufank. En HTTPS-Login, eng Serverzertifikatprüfung, en Authentifizéierungsaustausch an eng Postur-Komponent stinn all virun där Noriicht.

Notéiert d’Versioun an d’Loginadress déi benotzt gëtt, a widderhëlt den Versuch mat ausféierleche Ausgaben déi op Ärem eigenen Terminal bleiwen. Liest den éischte Feeler deen net en Neiversuch ass, net déi lescht Linn vun der Transkriptioun. Wann de Log stoppt ier eng Evaluatiounskomponent genannt gëtt, dann ass de Wrapper nach net Äre Problem. En zu deem Zäitpunkt derbäizemaachen mécht just d’Uewerfläch méi breet déi Dir méi spéit musst verdeedegen.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Hällt d’Transkriptioun lokal, well Cookien an Authentifizéierungsäntwerten Zougriffsmaterial sinn. Eng Spuer déi an en Chatthread agefüügt gëtt ass eng Zouschlossleküche vun den Zougriffsdaten, och wann den Evaluatiounsschrëtt onschiedlech ausgesäit. Deelt den Feelertext an de Punkt am Floss wou en opgetrueden ass, ni de Payload.

Schrëtt 2: Liest d’Skript ier se an e Profil geet

E Wrapper ass just sou vertrauenswürdeg wéi d’Revisioun déi Dir iwwerpréift hutt, also fixéiert déi Revisioun a späichert hire Hash niewent der Genehmegungsnotiz. Déi zwou Kommandoen hei drënner ginn Iech en Fangerofdrock an eng bëlleg Syntaxprüfung ier Dir eng eenzeg Linn liest. Si ginn och der nächster Persoun eng fix Referenz, wat zielt wann d’Datei baussent der Paketverwaltung läit. Keng vun de Kommandoen seet wat d’Skript mécht, also féiert se aus a liest weider.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Liest déi ganz Datei mat véier Froen am Kapp: mécht se ausgehend HTTP-Aufruffer, liest se Zouschlossdateien oder Ëmweltvariabelen, schreift se baussent engem temporäre Verzeechnis, a mëldet en Ast wëll eng bestanne Postur ouni eppes ze moossen. Dee leschte Muster ass eng Ëmgoe vun der Politik mat enger Loglinn drun. Kopéiert Wrappere schmuggelen et gär hannert enger plausibel ausgesender Prüfung. Wann d’Skript decidéiert datt den Apparat gutt ass ier se den Apparat ukuckt, stoppt do.

Préift och op gepackte Payloaden, well en liesbare Header näischt iwwer de Rescht vun der Datei beweist. Eng Skript vun engem Forenthread erofzelueden mécht se net vertrauenswürdeg just well hiren Numm eng richteg Host-Check-Komponent reflektéiert. Notéiert wien se installéiert huet, wou se hierkënnt a wéi se aktualiséiert gëtt.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Schrëtt 3: Wielt d’Identitéit ënner där de Wrapper leeft

--csd-user senkt d’Privilegien wärend de CSD-, TNCC- oder HIP-Programm ausféiert. Dee Kont ass Deel vun der lokaler Ausféierungsregelung, net de Benotzernumm deen dem Gateway presentéiert gëtt.

Gitt dem Wrapper en eegene Kont ouni interaktiv Shell, ouni sudo-Rechter an ouni Gruppememberschafte déi en net brauch. Gitt Lieszougriff op d’Skript an op déi spezifesch Dateien déi se iwwerpréift, a test dann de Senken ier Dir de VPN-Profil beréiert. D’Problem hei ze fannen ass bëlleg wéi et am Client ze fannen.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Privilegien ze senken limitéiert de Schued deen eng schlecht Skript kann uerichten. Et iwwerpréift net de Code, mécht den Rapport net wouer an etabléiert net datt de Gateway-Administrator dës Ëmsetzung als Erfëllung vun der Apparatspolitik akzeptéiert.

Schrëtt 4: Hält d’Ännerung ëmkéierbar

Maacht eng Sécherungskopie vum Profil ier Dir en ännert, a hält de Wrapper ënner Versiounskontroll sou datt en Zeréckzuch en bekannten Hash restauréiert amplaz eng Kopie ze sichen. Schreift de Skriptwee, den Hash, de Benotzer vun der Ausféierung an de Genehmeger op ee Plaz.

Fir zréck ze zéien, huelt d’Optioun eraus, start de Client nei a bestätegt datt de urspréngleche Feeler zréckkënnt. Wann de Gateway de Login och nom Zeréckzuch nach refuséiert, huet sech nach eppes anescht geännert, an dee Verschiddenheet ze fannen kënnt virum neie Versuch mam Wrapper. Hält déi fréier Kopie wärend dem ganze Ännerungsfenster, wat fir déi meescht Teams heescht bis den nächste Maintenancefenster passéiert ass.

Nom enger gelungener Ausrollung préift zwou Saachen an net eng: den Tunnel kënnt erop, an en Apparat deen d’Postur-Prüfung soll feelen gëtt nach ëmmer refuséiert. Eng Verbindung déi fir jiddereen funktionéiert ass kee Beweis datt d’Evaluatioun Är Ännerung iwwerlieft huet.

Schlësselen déi en zweet Problem schafen

Loosst den Hëllefer kee konforme Status mellen ouni déi erfuerderlech Prüfungen auszeféieren, a iwwerschreift net d’Plattformidentitéit fir mat engem aneren Betribssystem ze passen. Eng aner Plattform ze behaapten ass kee Beweis datt den echteb Apparat d’Politik erfëllt. Et léisst Iech mat engem Client dee bei all zukünftegem Login läit.

Serververifikatioun auszeschalten, en ale Cookie erëmzespillen an oniwwerpréift Skripte ze stapelen tauschen all eng siichtbar Feeler géint eng onsiichtbar. Wann den installéierte Client de unterstützte Floss net ka fäerdeg kréien, frot no enger genehmeger Alternativ amplaz dee mat deem Dir hutt ze béien.

OpenConnect-Hännbuch dokumentéiert --csd-wrapper an --csd-user separat, an dat ass den Hiweis deen zielt: d’Skript an d’Identitéit sinn zwou Entscheedungen. Iwwerpréift se separat a schreift béid op. Dann ass de Login-Prompt kee Rätsel méi deen Dir löst andeems Dir Code agebitt.