Firwat OpenVPN nach ëmmer eng Datei mat privatem Schlëssel freet, obwuel en Token do ass

Dir stieft den Token an, dem Fournisseur säin eegent Tool gesäit en, an de VPN-Client freet nach ëmmer eng Datei mat privatem Schlëssel. Dës Ufro ass kee Beweis, datt den Token net ënnerstëtzt gëtt. Si heescht meeschtens, datt de Profil dem Client ni gesot huet, den Token ze benotzen, dofir ass en op d'Zertifikats- an d'Schlësselagaben zeréckgefall, déi en als Standard erwaart.

Zwee getrennte Wäerter mussen richtig sinn, ier dësen Zeréckfall ophält: de Fournisseur, deen den Token exponiéiert, an d'Identitéit vum Zertifikat dobannen. Si ginn duerch verschidden Optiounen uginn an et ass einfach, si ze verwiesselen.

De Client freet eng Datei, well de Profil et esou virgëtt

En Standardprofil erwaart eng Zertifikatsdatei an eng Datei mat privatem Schlëssel, oder ee PKCS#12-Bündel. Wa dës Agaben feelen, huet de Client näischt ze lueden an behält sech bal esou wéi bei enger fehlender Datei, dofir gëtt de Symptom als gebrachenen Wee gelies an net als fehlende Mechanismus. De PKCS#11-Wee ersetzt dës Agaben, amplaz si z'ergänzen, dofir wäert e Profil, deen nach ëmmer eng Schlësseldatei nennt, d'Datei weider benotzen. Huelt d'Dateiagaben bewosst ewech a loosst den Token déi zwou Hälften ubidden.

D'Optioun vum Fournisseur nennt eng Middleware-Bibliothéik, net en Apparat an net en Zertifikat. Ob e gepackte Client déi Bibliothéik luede kann, hänkt dovun of, wéi en gebaut gouf, dorënner déi optional p11-kit-Ënnerstëtzung, déi verschidde Builds aschalten an anerer ewechloossen. En allgemenge Guide kann Iech net soen, wéi eng Konfiguratioun Äre Pak huet.

D'serialiséiert Identitéit ass en anere Wäert

D'Identitéit vum Zertifikat ass eng laang serialiséiert Zeecheketten, déi den Entdeckungsprozess produzéiert, an et ass net de Bibliothéikspad, net de PIN vum Token an net den Numm vum VPN-Konto. Si enthält dacks Zeechen, déi een a Gänseféissercher setze muss, an e Wäert ouni Gänseféissercher ka gekierzt oder falsch gelies ginn ouni eng kloer Feeler. Benotzt dem Client seng eegen Optioun Identitéitsentdeckung, fir ze lëschten, wat den Token exponiéiert, a kopéiert dann den ugedaachte Androu exakt. Déi éischt Objet an der Lëscht ze wielen ass de Wee, wéi en Apparat am Schluss dat falscht Zertifikat presentéiert.

Den Ausgang vun der Entdeckung beäntwert och eng vireg Fro: ob den Token iwwerhaapt duerch dee Fournisseur siichtbar ass. Wann et näischt lëscht, läit de Problem iwwer dem VPN-Client a gehéiert zu der Middleware.

De Prozess, deen d'Verbindung opbaut, muss den Token erreechen

Eng Tokenoperatioun, déi an Ärer Desktop-Sessioun funktionéiert, beweise näischt iwwer en Systemservice. De Service kann als en anere Benotzer lafen, an engem aneren Mount-Namensraum, mat engem Modulspad, deen d'Bibliothéik vum Fournisseur ewechloosst, oder ouni Erlaabnis, de Apparatknuet opzemaachen. Identifizéiert, wéi e Prozess d'Verbindung tatsächlech hält, a test aus deem Kontext.

De PIN Ëmgank verdéngt eng eege Entscheedung. D'Referenzimplementatioun bitt e PIN-Cache an en geschützten Authentifizéierungsspad, an déi zwee gëtt et, fir datt en Operateur e Workflow ka wielen, amplaz een ze erféieren. Verwandelt eng Opsiichtsfuerderung net an e PIN am Kloertext bannen engem gedeelten Profil, well dat de Schutz vum Token géint Komfort tauscht. Wou den Token den Export vum Schlëssel verbitt, geschitt d'Signatur um Apparat an de PIN ass dat eenzegt lokal Geheimnis. Behandelt en mat der Suerg, déi dat implizéiert.

Wat den Token net ersetzt

Den Token authentifizéiert de Client ënner der agesater Politik, an en ersetzt net dem Client seng Kontrollen um Server. En erfollegräich gewielten Zertifikat ass keng Erlaabnis, en onerwaarte Gateway-Zertifikat unzehuelen, an déi zwou Verifikatiounen schütze géigegesat Richtungen.

D'Aschreiwung muss nach ëmmer beim Emittent geschéien, an de Gateway muss d'Identitéit nach ëmmer autoriséieren.

Fir d'Akzeptanz, trennt d'Etappen: de Fournisseur lued, dat ugedaacht Zertifikat gëtt fonnt, de private Schlëssel gëtt mat lokaler Autorisatioun benotzt, de VPN authentifizéiert, an d'Ressourcenoperatioun geléngt. Hält bei der éischter Etapp un, déi feelt, amplaz duerch Passwierder ze cyclen an de Krypto-Stack nei ze installéieren.

Halt Versiounen, Modulproprietéit, den ausgewielten ëffentlechen Identifikator a gesäubert Feeler fest, a loosst PINen a Berechtegungsbündel baussent deem Registre.