OpenVPN vēlāk pārtrauc OTP sesiju: kas vajadzīgs atkārtotai autentifikācijai

No klienta puses tas izskatās kā nejaušs savienojuma pārtraukums pēc darba sesijas stundas. Teknes ikona pazūd, tunelis tiek pārbūvēts, un žurnālā parādās autentifikācijas kļūda, nevis tīkla kļūda. Patiesībā sesija vienojās no jauna, un otrajai rokasspiedienam bija vajadzīgi akreditācijas dati, kuru derīgas kopijas klientam vairs nebija. Vienreizējs kods, kas darbojās pieteikšanās laikā, otro reizi nedarbosies, tāpēc atslēgu maiņa neizdodas tieši tā, kā paredzēts.

Risinājums ir lēmums par to, ko otrajai rokasspiedienam vajadzētu uzrādīt, nevis garāks atkārtošanas taimeris.

Izsekojiet apmaiņai no klienta skatpunkta

Pieteikšanās laikā klients nosūta lietotājvārdu, paroli un kodu no tokena ierīces, un serveris šo kombināciju pieņem. Pēc tam sesija turpinās, līdz iedarbojas atkārtotas vienošanās trigeris, kas esošajā tunelī sāk jaunu TLS rokasspiedienu. Šis rokasspiediens atkal prasa autentifikāciju. Ja servera autentifikācijas ceļš gaida paroli un pašreizējo vienreizējo kodu, klientam nav jauna koda, ko uzrādīt, ja vien lietotājs nav klāt, lai to ievadītu.

Lielākā daļa klientu sesijas vidū neatver uzvedni, tāpēc rokasspiediens beidzas ar noildzi un tunelis nokrīt. Lietotājs redz atkārtotu savienojumu, nevis autentifikācijas uzvedni, tāpēc pirmais ziņojums parasti vaino tīklu.

auth-gen-token maina to, kas atbild uz otro jautājumu

Opcija auth-gen-token ļauj serverim pēc veiksmīgas pieteikšanās izdot tokenu, un vēlākās atkārtotās vienošanās uzrāda šo tokenu, nevis atkārto paroli un kodu. Rokasgrāmata apraksta tā darbības laiku un atjaunošanas uzvedību, un tokens jāuzskata par akreditācijas datiem ar savu derīguma termiņu. Noklusējuma ceļā serveris pats validē tokenu, nevis vēlreiz izsauc ārējo paroles autentifikatoru.

Ar ārējas autentifikācijas integrāciju šis dalījums mainās. Spraudnim ir jāsaprot tokena stāvoklis un jāpiemēro savas pārbaudes, jo serveris vairs nav vienīgā sastāvdaļa, kas izlemj, vai sesija turpināsies. Tokena uzskatīšana par vēl vienu ciparu vienreizējo kodu nav šīs funkcijas ieviešana.

Izlemiet, kas notiek ar konta statusu

Tokens, kas pārdzīvo konta piekļuvi, ir politikas caurums. Izlemiet, kā atspējots konts, noņemta grupas dalība vai atsaukta ierīce iedarbojas, kamēr tokens vēl ir derīgs. Īss tokena darbības laiks samazina logu; skaidrs atsaukšanas ceļš to padara apzinātu. Pierakstiet atbildi pirms opcijas iespējošanas, jo noklusējuma ceļš nekatrā atkārtotā vienošanās reizē nekonsultē ārējo autentifikatoru.

Daudzserveru izvietojumā tokena parakstīšanas noslēpumam jābūt koplietotam, citādi klients var tikt nosūtīts uz mezglu, kas nevar validēt tā tokenu.

Pārbaudiet derīguma termiņu un atkārtotu savienojumu, ne tikai pieteikšanos

Testa profilā samaziniet atkārtotās vienošanās intervālu, lai otrais rokasspiediens notiktu jums redzot, pēc tam sekojiet abiem žurnāliem. Apstipriniet, ka tokens tiek izdots pieteikšanās laikā, uzrādīts atslēgu maiņā un atjaunots vai izdots no jauna atbilstoši konfigurētajam darbības laikam. Pēc tam piespiediet tokena derīguma termiņa beigas un pilnu atkārtotu savienojumu, jo klients, kas tīri atkārtoti savienojas, joprojām var neizdoties atslēgu maiņas ceļā.

Konta noņemšanu pārbaudiet pēdējo. Šis gadījums parāda, vai jūsu rakstītā politika tiek izpildīta vai tikai dokumentēta.

Nelabojiet to, atspējojot atjaunošanu

Atkārtotās vienošanās intervāla iestatīšana uz nulli abos galos novērš simptomu un līdz ar to arī atslēgu rotāciju. Tas slēpj akreditācijas datu atkārtošanas problēmu aiz politikas izmaiņām, kuras neviens nav pārskatījis. Saglabājiet atjaunošanu un izvēlieties starp servera izdoto tokenu un jaunu interaktīvu izaicinājumu atkarībā no tā, vai lietotājs ir klāt.

Garāks atkārtošanas taimeris nepadara izlietotu kodu atkal derīgu. Tas tikai aizkavē atslēgšanos un padara žurnālu grūtāk lasāmu.