Għaliex l-editjar ta’ fajl .ovpn ma jistax ixgħel l-MFA fuq is-server

Żżid auth-user-pass ma’ profil, terġa’ tqabbad, u l-klijent jitlob isem tal-utent u password. Jidher li l-MFA mixgħul. Imbagħad tittajpja kodiċi mill-kont żbaljat, jew kodiċi li skada għaxar minuti ilu, u t-tunnel xorta jogħla. Dan huwa s-sintomu: il-klijent inbidel, is-server le. Password ta’ darba waħda huwa fattur biss meta verifikatur fuq is-server jiddeċiedi jekk huwiex validu għall-identità li tkun qed titolbu.

It-talba turi biss li l-klijent staqsa, xejn aktar

Fajl .ovpn huwa dokument fuq in-naħa tal-klijent. Jista’ jgħid lill-klijent biex jitlob kredenzjali, jaħżinhom fil-cache jew jieqaf milli jagħmel dan. Ma jistax jirreġistra utent, jinstalla modulu PAM, jew iġiegħel lis-server jitlob it-tieni fattur li bħalissa ma jivverifikax.

Anki l-installazzjoni ta’ app tal-awtentikazzjoni fuq telefon ma toħloqx dik ir-relazzjoni. Il-proġett Google Authenticator PAM huwa komponent tal-verifika OTP li jista’ joqgħod wara OpenVPN; mhuwiex mod kif twaħħal id-dħul tal-kont Google ma’ profil importat.

Ir-reġistrazzjoni hija l-parti li profil ma jistax jagħmel

TOTP jeħtieġ materjal tar-reġistrazzjoni maqsum bejn l-app tal-awtentikazzjoni u l-verifikatur tagħha. Is-sitt ċifri fuq it-telefon huma l-output; iż-żerriegħa warajhom hija s-sigriet, u tappartjeni lil identità waħda.

Għalhekk l-operatur jeħtieġ proċess ta’ reġistrazzjoni li jorbot iż-żerriegħa t-tajba mal-identità VPN t-tajba, flimkien ma’ mħit verifikat ta’ sostituzzjoni għal telefon mitluf. Li tħalli lill-utenti jtellgħu fajl imsemmi għalihom jagħmel ir-reġistrazzjoni opportunità ta’ ħtif ta’ kont, u l-kriptaġġ tal-upload ma jbiddilx dan.

Disinn ibbażat fuq PAM m’għandux għalfejn joħloq kont Unix separat għal kull utent VPN. Id-dokumentazzjoni tal-modulu tappoġġa mogħdijiet sigrieti alternattivi u kont iddedikat għall-aċċess għall-fajls, jiġifieri identità tas-sistema tal-fajls u mhux l-identità tad-dħul li tkun qed tiġi vverifikata.

L-iżball komuni huwa mogħdija sigrieta fissa li tintemm b’isem tal-utent wieħed, ikkupjata minn eżempju ta’ utent wieħed. Dik hija dimostrazzjoni ta’ identità waħda, mhux tfittxija għal kull utent, u l-użu tagħha għal kull talba ma jagħti lil ħadd app tal-awtentikazzjoni rreġistrata b’mod indipendenti. Ikteb il-mapping tal-identitajiet, ipproteġi l-fajls taż-żerriegħa u żomm il-verifiki tal-password, taċ-ċertifikat u tal-kont fl-istess munzell tal-awtentikazzjoni.

Aqra l-munzell PAM biex tara x’inhu meħtieġ tassew

Linja bħal account required pam_permit.so ma timplimentax l-eliġibilità tal-kont u ma żżidx fattur. Tippermetti dak l-istadju tal-ġestjoni tal-kontijiet PAM, li hija dikjarazzjoni dwar stadju u mhux dwar l-utenti tiegħek.

L-istess japplika għall-għażliet tar-reġistrazzjoni permissivi. Li taċċetta utenti mingħajr sigriet irreġistrat jista’ jkun għażla deliberata tal-varar, iżda mhuwiex prova li l-MFA huwa obbligatorju, u għandu jinkiteb bħala eċċezzjoni temporanja b’data ta’ tmiem.

Qabbil l-interazzjoni tal-klijent mad-disinn tas-server

auth-user-pass

Dik id-direttiva titlob input ta’ isem tal-utent u password. Ma tikkonfigurax PAM, ma toħloqx rekord tar-reġistrazzjoni, u ma tgħidx lis-server li l-qasam tal-password fih valur TOTP. L-integrazzjoni tas-server u l-klijent iridu jaqblu dwar interazzjoni li l-varar tassew jappoġġa: sfida, format ta’ kredenzjali kkombinati dokumentat, jew fluss speċifiku għall-prodott.

Twaħħalx kodiċi mal-password biss għax il-klijent juri qasam wieħed. Dan jaħdem biss fejn il-plugin tas-server jistenna eżattament dak il-format, u jfalli b’mod konfuż kullimkien ieħor.

Żomm iż-żrieragħ u l-materjal QR barra mill-profili maqsuma u mil-logs dijanjostiċi ta’ kuljum. Kodiċi mibgħut mill-kanal tad-dħul awtentikat mhuwiex l-istess oġġett bħaż-żerriegħa mogħtija waqt reġistrazzjoni kkontrollata, u t-taħlit tagħhom fi ticket ta’ appoġġ huwa l-mod kif is-sigrieti jaħarbu.

Qagħdiet mill-ġdid, tokens u t-test li jsolvi l-kwistjoni

Ippjana x’jiġri wara l-ewwel dħul b’suċċess. Kodiċi aċċettat qabel jista’ jkun skada jew miċħud bħala ripetizzjoni fl-awtentikazzjoni li jmiss. auth-nocache jikkontrolla ż-żamma tal-kredenzjali u ma jinstallax l-MFA, u reneg-sec 0 mhuwiex definizzjoni ta’ appoġġ TOTP, kemm jekk jidher spiss fil-ħjut tal-forum.

Xi varar joħroġ tokens tal-awtentikazzjoni wara l-verifika inizjali biex il-qagħdiet mill-ġdid ma jerġgħux jistaqsu. Dik hija deċiżjoni tad-disinn bit-tieqa tal-validità u l-istorja tar-revoka tagħha stess, mhux default li tintiret.

Imbagħad ipprova l-politika tad-dħul mal-klijent li n-nies tassew jużaw. Utent irreġistrat bil-password, iċ-ċertifikat u l-kodiċi attwali t-tajba għandu jqabbad. Kodiċi żbaljat, utent mingħajr reġistrazzjoni u kont projbit għandhom kull wieħed ifalli, u r-raġuni għandha tidher fil-log tas-server. Sakemm ma tkunx rajt dawk iċ-ċaħdiet, għandek talba, mhux politika.