L-ewwel il-metodu EAP: liema hash tal-password tista' tuża VPN
VPN tivverifika s-sigriet, mhux il-hash tal-web. Aqra l-metodu, imbagħad iċċekkja x'għandu l-maħżen qabel ma twiegħed li l-istess passwords se jibqgħu jaħdmu.
Ħafna timijiet għandhom login tal-web li jaħdem u VPN li tirrifjuta kull password mill-istess tabella. L-applikazzjoni tal-web tqabbel hash li kkalkulat hija stess, filwaqt li t-tunnel jitlob lill-klijent biex jipprova l-pussess ta' sigriet b'mod li s-server irid ikun jista' jiċċekkja. Dawn huma rekwiżiti differenti fuq il-materjal maħżun. Fil-qasma bejniethom jieqfu ħafna minn dawn il-proġetti.
Aqra l-metodu, imbagħad l-iskema
Ikteb liema prova tirrikjedi l-metodu magħżul qabel ma tħares lejn kwalunkwe skema. Il-metodu ta' sfida u risposta jeħtieġ materjal li minnu s-server jista' jikkalkula r-risposta mistennija, li fil-prattika jfisser il-password jew forma derivata kompatibbli. Il-metodu li jġorr il-password ġewwa tunnel protett jeħtieġ il-password stess fil-verifikatur. Aqra d-dokumentazzjoni tal-metodu għar-rekwiżit tal-verifikatur u mhux għall-konfigurazzjoni tal-klijent, għax ir-rekwiżiti tal-klijent normalment huma l-parti faċli.
Hash immellaħ li jipproduċi framework tal-web modern ma jipprovdi l-ebda waħda. Jivverifika paragun wieħed speċifiku u ma jistax jerġa' lura għas-sigriet li minnu ġie.
Is-sfida u r-risposta ma jistgħux jużaw hash immellaħ
MSCHAPv2 huwa skambju ta' sfida u risposta, għalhekk is-server qatt ma jirċievi l-password u ma jistax iqabbel string maħżuna. Huwa jrid jiddeduka r-risposta mistennija mill-materjal li diġà għandu, u għalhekk il-forom maħżuna kompatibbli huma daqshekk dojoq. Valur bcrypt jew Argon2 b'melħ għal kull utent huwa f'direzzjoni waħda b'mod li jeskludi l-iskambju għal kollox. It-tabella hawn taħt tibda mill-forma tal-ħażna u mhux mill-isem tal-metodu, għax il-forma tal-ħażna hija dik li tiddeċiedi t-tweġiba.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Id-dokumentazzjoni tal-plugin SQL għal strongSwan tiddefinixxi skema tagħha għall-konfigurazzjoni u l-kredenzjali, u l-proġett għadu jimmarka dak il-plugin bħala sperimentali. Xejn fiha ma jadatta għat-tabella tal-utenti ta' applikazzjoni u lanqas ma jaqta' liema skema ta' hashing ipproduċiet valur maħżun. L-għażliet realistiċi huma għalhekk il-migrazzjoni għal maħżen li l-gateway jista' juża, jew servizz ta' awtentikazzjoni quddiem il-maħżen eżistenti li jista' jwettaq l-iskambju. Kull ħaġa oħra hija konnettur b'ipoteżi moħbija ġo fih.
RADIUS iċaqlaq ix-xogħol, mhux ir-rekwiżit
Id-delega tal-EAP lil server RADIUS tbiddel fejn issir il-verifika u normalment ittejjeb it-traċċa tal-awditjar. Ma tirkuprax password minn hash f'direzzjoni waħda, għalhekk is-servizz tal-awtentikazzjoni għadu jeħtieġ materjal kompatibbli mal-metodu li jtemm. It-timijiet jiskopru dan wara li jibnu t-triq RADIUS u jiltaqgħu mal-istess ħajt fit-tarf l-ieħor.
Fejn is-server RADIUS jista' jaqra direttorju li jżomm kredenzjali kompatibbli, id-disinn jaħdem u l-gateway VPN jibqa' sempliċi. Fejn ma jistax, it-tweġiba onesta hija bidla fir-reġistrazzjoni u mhux konnettur ieħor. Il-provvista u r-revoka jappartjenu lil min għandu l-identità, għalhekk tabella kkupjata mingħajr proċess ta' sinkronizzazzjoni appoġġjat hija t-tieni ċiklu tal-ħajja tal-kredenzjali u mhux dħul wieħed. Hija tisposta l-ewwel darba li xi ħadd jerġa' jistabbilixxi password f'post wieħed biss, u t-tisposta hija siekta sakemm kont li jeżisti fiż-żewġ sistemi jġib ruħu b'mod differenti f'kull wieħed.
Illimita l-kont li jaqra d-direttorju għal dik il-qari biss, u żommu separat mill-kont li l-gateway juża għall-konfigurazzjoni tiegħu stess. Kont amministrattiv maqsum ibiddel disinn ta' qari biss fi raġġ ta' impatt ħafna akbar.
Fejn għandu jgħix il-kont
Ladarba l-kwistjoni tal-materjal tiġi solvuta, jibqgħu żewġ arkitetturi. Il-gateway jista' jkollu maħżen żgħir tal-kredenzjali li jaqra biss hu, jew jiddelega lil servizz ta' awtentikazzjoni li joqgħod quddiem id-direttorju korporattiv.
L-ewwel waħda hija aktar faċli biex tiddiskutiha u agħar għall-utent, li jispiċċa bi tieni password x'jimmaniġġja. It-tieni waħda żżomm identità waħda u żżid dipendenza fuq servizz li issa jrid ikun qed jaħdem qabel ma xi ħadd jista' jikkonnettja. L-ebda waħda mhija ħażina, imma l-għażla għandha tiġi rreġistrata ħdejn il-konfigurazzjoni tal-gateway, għax inkella l-inġinier li jmiss jassumi li ntgħażlet l-oħra. Tkun xi tkun l-għażla tiegħek, iż-żewġ kmandi hawn taħt huma dawk li juru l-istat attwali qabel ma tibdlu.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsL-awtentikazzjoni tal-kont ma ssolvix lanqas l-awtorizzazzjoni. Is-sħubija fil-grupp, l-istat tal-apparat u l-permess tan-netwerk għadhom jeħtieġu mappa espliċita wara li l-utent ikun ipprova l-identità meħtieġa. Konnessjoni li tawtentika b'mod perfett u ma tawtorizza xejn hija riżultat ta' politika, mhux difett fil-metodu.