Wou den statischen Ufuerderungscode bei enger OpenVPN-Umeldung hinkënnt

De Client weist en zweete Këschte no dem Passwuertfeld, Dir tippt de Code vum Hardware-Token an, an d’Umeldung schléit weider mat engem Authentifizéierungsfehler feel. Dee Këschte gëtt et, also huet de Profil en ugefrot. Ob de Server de Wäert iergendwann an enger Form krut, déi en versteet, ass eng aner Fro, an déi ass et wäert, als éischt ze beäntweren.

Fänkt bei der Ufuerderung un, déi Äre Client tatsächlech weist

E Profil kann eng Direktiv fir eng statesch Ufuerderung mat engem Ufuerderungstext an enger Fändel droen, déi steiert, ob d’Äntwert beim Tippen ugewise gëtt. Den Ufuerderungstext ass dat, wat Dir am Dialog gesitt; de Fändel ass eng Uweiseegstellung fir dee selwechten Input. Keent vun deene zwee seet dem Server, wéi eppes soll iwwerpréift ginn.

Zielt d’Felder, déi Dir tatsächlech krut. Ee Feld fir e Benotzernumm plus ee maskéierte Feld ass eng normal Passwuertumeldung ganz ouni Ufuerderung. En zweete Feld, dat no dem Passwuert mat sengem eegene Label erschéngt, ass de Client, deen d’Interaktioun vun der Ufuerderung ëmsetzt.

Wann deen zweete Këschte ni am Client erschéngt, deen Dir benotzt, setzt dee Client d’Interaktioun vläicht net ëm, oder nëmmen iwwer eng aner Frontend wéi eng Verwaltungsinterface. De Client ze préifen ass méi bëlleg wéi de Profil nei ze schreiwen, an do läit d’Diskrepanz meeschtens wierklech.

Wat de Server scho muss ënnerstëtzen

De Profil beschreift, wat de Client soll sammelen. En aktivéiert keng Iwwerpréifung um Server, an e Server ouni déi entspriechend Authentifizéierungsintegratioun kritt einfach e Passwuert, dat en net erkennt. Dofir weisen e puer Deployementer d’Ufuerderung a lehnen all Code of, an dofir ass d’Äntwert vum Bedreiwer, wéi ee Mechanismus d’Kontroll mécht, déi Äntwert, op déi et ukënnt.

Frot de Bedreiwer, wéi ee Mechanismus d’Kontroll mécht. Et kann e Plugin sinn, deen mat PAM schwätzt, en Skripthaken, deen d’Äntwert géint en Token-Service validéiert, oder eng verwaltungsbaséiert Integratioun, déi de gepackte Wäert selwer analyséiert. Jiddereen dovun erwaart e bësse aneren Input.

Hei mussen d’Erwaardungen och kalibréiert ginn. Eng zweet Ufuerderung ass en Inputmechanismus, keen Beweis, datt en zweete Faktor duerchgesat gëtt, well d’Duerchsetzung op der Serversäit geschitt a sech nëmmen zeigt, wann Dir ee falschen Code testt.

De kodéierte Feld, deen d’Verwaltungsinterface schéckt

Wann eng Frontend d’Verbindung iwwer d’Verwaltungsinterface dréit, ginn d’Passwuert an d’Äntwert op d’Ufuerderung virum Aschécken an ee Wäert gepackt. D’Referenz vun der Verwaltungsinterface dokumentéiert de Format: e Prefix, duerno d’Passwuert an d’Äntwert als getrennte Base64-Komponenten.

Base64 ass eng Kodéierung, keen Schutz. Et verstoppt näischt virun deem, deen de Feld liese kann, an et mécht aus engem eemolege Code kësse wat Widderverwendbaart. De gepackte Wäert verdéngt déiselwecht Behandlung wéi e Passwuert: aus gedeelte Profilen eraus, aus Kommandozeilen eraus an aus Diagnoselogs eraus.

Déi Kodéierung ass och déi heefegst Quell vu Verwirrung, well et elo dräi Formen gëtt, déi ähnlech ausgesinn an net auswiesselbar sinn. Eng einfach Datei mat Umeldungsinformatiounen hält e Passwuert. Eng wuertwiertlech Verknëppung vu Passwuert a Code hält eng aner Zeecheketten. D’gepackt Äntwert vun engem Verwaltungsclient hält eng drëtt. Bestätegt, wéi eng Äre Prüfwee erwaart, ier Dir e Feld ännert just well e Feeler verschwonnen ass.

Statesch géint dynamesch: ënnerschiddlech Timing

Eng statesch Ufuerderung ass bekannt, ier déi éischt Umeldungsinformatioun geschéckt gëtt, also kann de Client se viraus froen. Eng dynamesch Ufuerderung kënnt méi spéit, geschéckt vum Authentifizéierungsfloss, nodeems en Austausch schonn ugefaangen huet, an se brauch e Client, deen eng Ufro mëtt am Gespräch kann handhaben.

D’Ënnerstëtzung vun engem gëtt Iech deen aneren net. Eng Profildirektiv, déi eng statesch Ufuerderung konfiguréiert, setzt keng vum Server initiéiert Ufuerderung ëm, an eng Frontend, déi dynamesch Ufroe behandelt, weist vläicht nach ëmmer keng statesch. Ze liesen, wéi eng Säit d’Ufro gestart huet, ass de séierste Wee, se z’ënnerscheeden.

Oniwwerwaachte Betrib ass do, wou dëst eng Design- an keng Interface-Fro gëtt. E gespäicherte Code ass keng dauerhaft Umeldungsinformatioun beim Start, an eng Reconnect Stonnen duerno brauch frëschen Input, ausser dem Deployement ënnerstëtzt eng Token-Regelung, déi de Bedreiwer bewosst ageschalt huet.

Testt Erfolleg an Echec, net just den Dialog

Féiert béid Hälften vum Test duerch. Korrekt Umeldungsinformatiounen mat enger gëlteger Äntwert sollten duerchgoen; korrekt Umeldungsinformatiounen mat enger bewosst falscher Äntwert sollten ofgelehnt ginn. Wann béid duerchginn, sammelt de Client Input, deen näischt iwwerpréift, an den Dialog gouf fir eng Kontroll gehal. Deeen eenzegen Test fänkt méi Deployementer wéi all Profilduerchsiicht.

Dann widderhuelt d’Verbindung no engem Reconnect, mat engem Kont, deen net ageschriwwe ass, an iwwer wéi ee Client Är Benotzer tatsächlech lafen. Datt d’Ufuerderung erschéngt, ass Clientverhalen; datt e falschen Code ofgelehnt gëtt, ass de Server, deen eppes duerchsetzt.