Żball ta' fiduċja Android IKEv2: ibgħat il-CA intermedja, mhux Root
It-telefon tirrifjuta l-gateway għax il-katina li rċeviet tieqaf kmieni. Iddeċiedi: ibgħat l-intermedja, sewwi l-identità, jew ibdel it-tip ta' ċavetta.
It-telefon tirrifjuta li tikkonnettja u tipprintja No trusted RSA public key found for vpn.example.net, filwaqt li l-istess ċertifikat tal-gateway jaħdem minn laptop fuq l-istess netwerk. Il-mossa li tħajjar hija li terġa' toħroġ iċ-ċertifikat. Qabel ma tagħmel dan, aqta' liema minn tliet fallimenti għandek, għax wieħed biss minnhom huwa dwar il-kontenut taċ-ċertifikat. Il-messaġġ ikopri katina mhux kompleta, nuqqas ta' qbil fl-identità, u ċavetta jew firma mhux appoġġjata, u kull wieħed għandu tiswija differenti.
Tliet fallimenti wara messaġġ wieħed
Android tibni katina miċ-ċertifikat tal-gateway sal-CA magħżula fil-profil VPN, imbagħad tqabbel l-isem tas-server mal-profil. In-notifika tirrapporta r-riżultat, mhux l-istadju. Falliment ta' fiduċja jfisser li l-katina ma setgħetx titlesta miċ-ċertifikati mogħtija fl-iskambju; falliment ta' identità jfisser li l-katina ġiet ivvalidata iżda l-isem ma qabilx; falliment ta' algoritmu jfisser li l-apparat jew il-profil ma jaċċettax it-tip ta' ċavetta jew il-firma.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Iddeċiedi b'evidenza minflok tipprova tiswijiet wieħed wara l-ieħor. Tentattiv wieħed fil-livell tal-log 2 kontra d-daemon jgħidlek f'liema ringiela int, u jiswa inqas minn li terġa' toħroġ ċertifikat li qatt ma kien ħażin.
L-ewwel iddeċiedi: waslet il-katina kollha?
strongSwan tibgħat iċ-ċertifikat ikkonfigurat għal dik il-konnessjoni, u l-intermedji huma kredenzjali separati. Iridu jiġu mgħobbija bħala ċertifikati CA qabel ma d-daemon tista' tqegħedhom f'payload, għalhekk tqassim fejn iċ-ċertifikat tas-server huwa ffirmat minn intermedja, l-għerq huwa l-ankra tal-fiduċja, u l-intermedja tgħix biss fid-direttorju tal-bini tas-CA jipproduċi eżattament dan il-falliment: werqa waħedha fuq il-wajer, katina li tispiċċa kmieni fuq it-telefon.
Iċċekkja x'għandha d-daemon b'swanctl --list-certs fuq installazzjoni swanctl, jew ipsec listcerts mal-starter il-qadim. L-intermedja għandha tidher bħala ċertifikat CA bl-għerq fuqha. Jekk hija nieqsa, l-ebda għażla tal-klijent ma tgħin; jekk hija preżenti, mur għall-mistoqsija li jmiss.
Imbagħad iċċekkja jekk hijiex se tintbagħat. Ir-referenza swanctl.conf tiddokumenta send_cert, li l-default tiegħu ifasked jibgħat ċertifikati biss meta l-pari jkun talab; always jibgħat dejjem. L-ekwivalenti legacy huwa leftsendcert=always f'ipsec.conf. Dak is-setting jikkontrolla l-ibgħat, mhux id-disponibbiltà, għalhekk ma jistax jikkumpensa għal intermedja li d-daemon qatt ma għabbiet.
Jekk il-katina hija qasira, għabbi l-intermedja fejn tfittex id-daemon
Qiegħed l-intermedja fid-direttorju tas-CA u mhux ħdejn il-werqa: /etc/ipsec.d/cacerts għal setup ipsec.conf, /etc/swanctl/x509ca għal swanctl, jew il-passaġġ li jissostitwixxi l-pakkett tiegħek. Erġa' għabbi l-konfigurazzjoni u erġa' elenka ċ-ċertifikati. Xi verżjonijiet jibgħatu wkoll bundle li jkun fih il-katina fil-fajl tal-werqa, iżda d-direttorju tas-CA huwa l-arranġament portabbli matul il-verżjonijiet u l-pakketti.
Ivverifika wkoll min-naħa tal-klijent. It-telefon tara biss dak li ġab l-iskambju, għalhekk il-log tad-daemon fil-livell 2 għandu juri l-intermedja fiċ-ċertifikati trażmessi. Jekk il-log juriha u t-telefon xorta tfalli, int f'ringiela oħra tat-tabella, u li tkompli taġġusta l-fajls tas-CA mhux se jbiddel ir-riżultat.
Jekk il-katina hija kompleta, waqqaf l-editjar taċ-ċertifikati
Falliment ta' identità huwa nuqqas ta' qbil bejn l-isem fil-profil VPN u l-isem fiċ-ċertifikat. Android tqabbel l-identità tas-server li kkonfigurajt maċ-ċertifikat li vvalidat, għalhekk profil li jindika indirizz filwaqt li ċ-ċertifikat isemmi isem tal-host, jew profil li jsemmi isem tal-host li ċ-ċertifikat ma jkoprix, ifalli wara validazzjoni tal-katina b'suċċess. Sewwi n-naħa li hija ħażina, u żomm il-profil u ċ-ċertifikat allinjati meta wieħed minnhom jinbidel.
Falliment ta' algoritmu jidher b'katina valida u isem li jaqbel. Il-ħarġiet ta' Android ivarjaw minn liema tipi ta' ċavetta u skemi ta' firma jaċċettaw, u it-tip ta' profil innifsu jillimita l-għażliet. Jekk il-gateway juża taħlita eqdem jew mhux tas-soltu, qabbelha ma' dak li jappoġġja l-apparat qabel ma tassumi li ċ-ċertifikat huwa korrott. Il-log tad-daemon se juri l-handshake jimxi aktar mill-każ tal-fiduċja, li huwa s-sinjal li l-katina m'għadhiex il-problema.
Tinstallax l-intermedja bħala għerq tal-utent fuq it-telefon
L-installazzjoni tal-intermedja nieqsa bħala ċertifikat tal-utent fuq it-telefon tneħħi t-twissija u tibdel il-mudell ta' fiduċja tat-telefon għal kull app li taċċetta għeruq installati mill-utent. Hija wkoll taħbi bug fil-kunsinna li se jolqot il-klijent li jmiss, u tħalli l-gateway tibgħat katina mhux kompleta lil kull apparat futur. It-tiswija dejjiema hija fis-server, darba, għall-klijenti kollha.
Żomm it-tliet deċiżjonijiet separati fir-rekord tal-bidliet: liema ċertifikati ġew trażmessi, liema identità ġiet imqabbla, u liema algoritmu ġie nnegozjat. Gateway li dejjem tibgħat il-katina sħiħa tagħha, profil li jsemmi ċ-ċertifikat b'mod korrett, u tip ta' ċavetta li l-flotta tappoġġja huma tliet fatti żgħar, u huma dan il-falliment kollu.