Wéi mécht OpenConnect aus engem Anmeldungs-Cookie en Tunnel?

OpenConnect verbënnt zwee getrennt Ausdiwwelen mat engem eenzegen, kuerzliewege Wäert: d'Web-Anmeldung an den VPN-Tunnel. Dat éischt Ausdiwwelen ass gewéinlech HTTPS: d'Identitéitsdaten, eng SAML-Ronn oder en Token ginn un de Gateway, an d'Äntwert dréit en Authentifikatiouns-Cookie. Dat zweet Ausdiwwelen présentéiert dee Cookie dem selwechte Gateway als Beweis, datt d'Webphas schonn geschitt ass, an eréischt da geet den Tunnel op.

Wärend der Anmeldung gëtt näischt iwwer den Tunnel verhandelt. Dat ass de Punkt, deen et ze verstoe gëllt, well déi meescht Skriptfeeler unhuelen, den Cookie wier e Passwuert fir ze späicheren oder e Schlëssel, deen den Trafik schützt, obwuel en tatsächlech en Undréier-Ticket fir eng bestëmmt Gateway-Sitzung ass.

Wat de Client an de Gateway der Rei no austauschen

D'Authentifikatiounsphas gesäit aus wéi eng normal geschützte Websäit. OpenConnect schéckt d'Identitéitsdaten vum Benotzer oder follegt der Ëmleitung vum Gateway zu engem Identitéitsfournisseur, an de Gateway äntwert mat engem Dokument, dat den Authentifikatiouns-Cookie enthält. Am AnyConnect-Protokoll reest dee Wäert an engem Cookie-Header bei den nächsten Ufroen, normalerweis ënner engem Numm wéi webvpn, an den Handbuch behandelt en als d'Identitéitsdaten, déi d'Sitzung virubréngen.

Déi zweet Phas ass eng CONNECT-Ufro un den VPN-Endpunkt vum Gateway mat deem Cookie ugehaangen. De Gateway kontrolléiert en, deelt eng Adress zou, an de Client fänkt CSTP iwwer TLS un, wobei DTLS en optionale méi séieren Datenwee ass, soubal d'Sitzung existéiert. Eréischt an dësem Moment ginn d'Tunnelparameter, d'Routen, d'DNS-Astellungen an d'Trafikschlëssel vun der Sitzung festgeluecht. Den Cookie huet de Client duerch d'Dier bruecht; en huet näischt verschlësselt.

Dës Reiefolleg erkläert, firwat et openconnect --authenticate gëtt. Féiert en aus, an en mécht d'Webphas, dréckt e klengt Block Shell-Variabelen wéi COOKIE, HOST, CONNECT_URL an FINGERPRINT aus, an hält dann op, ier en Tunnel gebaut gëtt. En Ëmhuel-Skript kann duerno déi richteg Verbindung mat deene Wäerter starten, an dat ass genee déi Deelung, déi eng headless oder Zwee-Container-Installatioun brauch.

Den Cookie ass en Undréier vun der Sitzung, keen Schlëssel

Behandelt de Wäert sou, wéi Dir eng Sitzungs-ID an enger Webapplikatioun behandele géift. Wien en an enger Liewensdauer huet, kann dem Gateway den Tunnel froen, op deen déi Sitzung Usproch huet, dofir ass seng Geheimhaltung wichteg. Awer kopéieren deckt keen Trafik op, well d'Vertraulechkeet vum Tunnel aus dem TLS-Handshake an den ofgeleeëte Schlësselen kënnt, net aus dem Cookie-String.

Et ass och keng permanent Autorisatioun. De Gateway an den Identitéitsfournisseur entscheeden, wéi laang d'Sitzung lieft, an e Browser, deen nach eng ageloggt Säit weist, seet näischt doriwwer, ob d'Tunnelsitzung nach gëlteg ass. No dem Oflaf nees verbannen heescht d'Webphas widderhuelen an en neie Cookie produzéieren, an dat ass de Sënn vun der Reauthentifikatioun, net eng Plo, déi een technesch ëmgoe misst.

Behandelt en Cookie net als universelle Ersatz fir aner Identitéitsdaten. Eng SAML-Behauptung, e Browserpasswuert an en Cookie, deen en aneren Déngscht ausgestallt huet, sinn ënnerschiddlech Objeten mat ënnerschiddlechen Zilgruppen, an deen een an d'Feld vum aneren ze setzen schléit meeschtens um Gateway feel oder, wat nach schlëmmer ass, geléngt géint déi falsch Vertrauensgrenz.

Den Cookie iwwerginn, ouni Kopien ze hannerloossen

Déi sécherst mechanesch Iwwergab op Linux ass d'Standardagab. --cookie-on-stdin liest de Wäert aus stdin, sou datt den Cookie ni an der Argumentlëscht vum Prozess erschéngt, wou all lokale Benotzer en mat ps liese kann. Eng Pipeline, déi an engem Prozess authentifizéiert an den Tunnel an engem aneren ernährt, hält de Wäert an enger Päif amplaz an enger Datei oder enger Ëmweltvariabel.

Argumenter an Ëmweltvariabelen si aus ënnerschiddleche Grënn méi schwaach. En Argument ass an der Prozesstabell fir d'ganz Liewensdauer vum Client visibel a landt dacks an der Shell-Historik. Eng Ëmweltvariabel gëtt u Kannerprozesser verierft, an eng systemd-Eenheet, déi se an der Eenheetsdatei setzt, späichert de Geheimnis an enger liesbarer Konfiguratioun. Wann eng Datei néideg ass, limitéiert se op de Servicekont an läscht se, wann d'Sitzung fäerdeg ass.

Halt och d'Privilegie-Grenz bewosst. De Prozess, dee mat dem Identitéitsfournisseur schwätzt an eventuell e Browser opmécht, soll als dee Benotzer lafen, deem d'Anmeldung gehéiert. De Prozess, deen d'Routen, DNS an den Tunnelapparat konfiguréiert, brauch vläicht méi Privilegien. De ganze Browser als root lafe loossen, fir datt säi Cookie fir en Tunnel am root-Besëtz disponibel ass, ass de falschen Tausch, an déi modern OpenConnect-Astellunge kënnen de Wäert iwwer déi Grenz ausdrécklech iwwerginn.

D'Logging verdéngt déiselwecht Skepsis. Ausféierlech Client-Ausgab, Hëllefsskripten an Gateway-Diagnostik kënnen all Ufro-Material widderhuelen, an net all Log-Niveau verdeckt den Cookie. Erfaasst de klengsten Feeler-Record, deen Dir braucht, haalt en aus gedeelte Kanäl eraus, a kontrolléiert eng verdeckte Probe, ier Dir se un en Ticket hänkt.

Iwwerpréiwung an Oflaf an der zweeter Phas

Déi zweet Phas muss de Server nach ëmmer iwwerpréiwen. Den FINGERPRINT, deen --authenticate ausdréckt, ass eng Zertifikats-Pin an der Form pin-sha256:, an en un den Tunnelopruff mat --servercert ze iwwerginn hält d'Kontroll un dee Gateway verankert, géint deen Dir Iech authentifizéiert hutt. D'Zertifikatskontroll auszeschalten, fir e Skript ze vereinfachen, hëlt deen eenzege Beweis ewech, datt den Cookie un den intendéierten Host geet.

Wann de Gateway den Cookie refuséiert, ass d'Léisung eng nei Authentifikatiounsronn, keen längere Cache. Späichert den Cookie nëmme fir d'Liewensdauer vun der Verbindung, läscht temporär Dateien beim Verloossen, a benotzt de Sitzungsläschprozess vum Identitéitsfournisseur oder vum Gateway, wann eng Sitzung opgedeckt gëtt oder en Apparat verluer geet. En gecachten Cookie ass keng Ausnam vu MFA.

Ier Dir dat automatiséiert, iwwerpréift véier Saachen: den Tunnel leeft ënner dem richtegen Kont, den Cookie kënnt iwwer stdin, den Zertifikats-Fangerofdrock ass gepinnt, an d'Sitzung gëtt verkaaft, wann den Tunnel zougeet. Wann eng dovun feelt, huet d'Automatisatioun d'Vertrauen an den Cookie erweidert amplaz de manuelle Floss ze reproduzéieren.