TOTP-Ufro vun OpenConnect fehlt am NetworkManager: véier Kontrollen

D’Gateway akzeptéiert d’Passwuert, freet en Code an den Dialog bitt kee Feld dofir un. Et gouf näischt falsch agetippt: de NetworkManager-Plugin huet den Austausch vum Geheimnis ofgeschloss, ouni de sechsstellegen Wäert ze froen. Gitt déi véier Kontrollen hei drënner an der Rei duerch, well nëmmen eng vun hinnen de Client ännert. De Rescht vun der Lëscht schléisst d’Gateway, de Kont an de Build vum Plugin aus.

Éischt Kontroll: liest, wou d’Authentifikatioun opgehalen huet

E falscht Passwuert feelt direkt. En feelenden zweete Faktor feelt nom Schrëtt vun den Identifikatiounsdaten, meeschtens mat enger widderhuelter Ufro oder engem Timeout op der Gateway-Säit. Den Timing an de Log vun der Gateway weisen, wéi eng Ronn onbeäntwert bliwwen ass.

Liest de Verbindungslog, ier Dir de Profil beréiert. Mellt d’Gateway eng onkomplett Authentifikatioun oder eng ofgelafene Challenge, huet de Client den Code ni geschéckt. Mellt si ongülteg Identifikatiounsdaten, ass d’Passwuert de Problem an keng TOTP-Astellung wäert en heelen.

Notéiert déi genee Reiefolleg vun den Ufroen, déi d’Gateway erwaart: Benotzernumm, Passwuert, dann Code, oder Benotzernumm, Code, dann Passwuert. E puer Gatewaye réckelen d’Ronnen ëm, an e Client, deen nëmmen déi éischt Reiefolleg kennt, bleift bei der zweeter hänken.

Zweet Kontroll: benotzt de Client, deen d’Challenge huet

OpenConnect selwer implementéiert dat ganzt Gespréich, inklusiv der Challenge-Ronn. En direkt auszeféieren ass dee preziséierbarsten Wee fir ze bestätegen, datt de Kont an d’Gateway schaffen:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

De Client freet an der Reiefolleg, an där d’Gateway freet. Den User-Agent ass wichteg, well e puer Gatewayen de Login-Floss op e bekannte Client zouneiden, an eng generesch Zeecheketten e méi kuerze Floss ka produzéieren, deen ni no dem Code freet. Féiert en eemol am Virdergrond aus, ier Dir en Hannergrondservice opstellt.

Wann d’Kommandozeil richteg freet, si Kont, Gateway an zweete Faktor an der Rei. De Reschtproblem ass den Dialog vum Plugin, net den Authentifikatiounsservice. Dat isoléiert de fehlerhafte Komponent, ouni de Server ze beréieren. Halt d’Ausgab vum Kommando beim Incident-Record.

Wann d’Kommandozeil d’Ufro och iwwerspréngt, stoppt a kontrolléiert d’Konfiguratioun vun der Gateway mat hirem Besëtzer. Kee Desktop-Client kann eng Challenge beäntwerten, déi de Server ni schéckt.

Drëtt Kontroll: kuckt, ob Äre Plugin en TOTP-Modus ubitt

E puer NetworkManager-OpenConnect-Builden bidden en Token-Modus an en User-Agent-Feld am Identity-Tab vun der Verbindung. Setzt den User-Agent op de Wäert, deen d’Gateway erwaart, wielt manuell TOTP-Agab a späichert d’Verbindung.

Ob et dës Felder gëtt, hänkt vun der Versioun vum Plugin an dovun of, wéi en Editor fir Verbindungen den Desktop benotzt. En eegestännegen Editor kann Optiounen weisen, déi de GNOME-Panel verstoppt, oder ëmgedréint. Kontrolléiert d’Versioun vum installéierte Paket, ier Dir eng verstoppte Astellung sicht.

Wann den Token-Modus do ass an d’Ufro awer net erschéngt, feelt am Build d’Iwwergabe vun der Challenge tëscht dem Plugin an dem genereschen Dialog fir Geheimnisser. D’Passwuert nach eng Kéier tippen, dee selwechte Paket nei installéieren oder de Schlësselbock eidel maachen erstellt kee Feld, deen de Build net implementéiert.

Véiert Kontroll: behandelt en generéierte Code als Kompromiss

E Skript kann oathtool fir den aktuelle Code ruffen a Benotzernumm, Passwuert an Code an nmcli connection up --ask pipen. D’Reiefolleg funktionéiert, awer de gedeelte Geheimnis gëtt spéider do gespäichert, wou jiddereen, deen d’Skript opmaache kann, en liese kann, an dee Lieser kann éiweg Coden erstellen. Dat ass eng permanent Erweiderung vun der Uewerfläch vun den Identifikatiounsdaten, keng Client-Korrektur.

Wien dat wielt, sollt d’Geheimnisdatei op root aschränken, generéiert Wäerter aus der Shell-Historie halen an d’Skript als Identifikatiounsdaten-Material behandelen. En Wrapper, deen de Code op den Terminal widdergëtt, werft den zweete Faktor ewech. Test de Wrapper fir d’éischt mat engem Eewechkont.

D’Skript muss och d’Ufro-Reiefolleg vun der Gateway befollegen. Wann de Server de Code virum Passwuert freet, schéckt eng fest Input-Reiefolleg de falsche Wäert op déi falsch Ufro an erstellt déiselwecht onkomplett Authentifikatioun. Übt dat mat engem Testkont, ier Dir et un en Login-Job hänkt.

Bestätegt déiselwecht Gateway an dee selwechte Kont

Test all Ëmwee géint déiselwecht Gateway, dee selwechte Kont an déiselwecht Tunnelgrupp. Eng Gateway, déi och en Apparatszertifikat verlaangt, kann de Kommandozeil-Client aus engem Grond ofleenen, deen näischt mat TOTP ze dinn huet, an d’Reiefolleg vun den Ufroen kann vun der geübt ofwäichen.

Notéiert de Client, seng Versioun, den User-Agent an d’Ufro-Reiefolleg, déi funktionéiert huet. Dee Rekord seet der nächster Persoun, ob de Problem am Plugin-Build, am Floss vun der Gateway oder an der Politik vum Kont läit, ouni nach eng Ronn Passwuert-Resets.

Schléisst of, andeems Dir eemol no engem kompletten Ausloggen erëm verbënnt. En gecachte Geheimnis kann e gebrochene Floss bis zur nächster Sessioun reparéiert ausgesinn, an beim zweeten Verbannen kënnt déi feelend Ufro meeschtens zréck.