Dħul fil-VPN b'ċertifikat fuq il-Mac: identità, użu taċ-ċavetta jew fiduċja fil-gateway?
Tliet deċiżjonijiet joqogħdu wara dħul b'ċertifikat: liema identità tintgħażel, jekk il-komponent tal-VPN jistax juża ċ-ċavetta tiegħu, u jekk il-gateway huwiex afdat.
Dħul fil-VPN ibbażat fuq iċ-ċertifikat jitlob mill-Mac xi ħaġa iktar ristretta minn password: juża din iċ-ċavetta privata speċifika, f'dan il-kuntest tal-eżekuzzjoni, biex jipprova identità lil dak il-gateway. Meta jfalli, il-messaġġ normalment jiddeskrivi biss l-aħħar ħaġa li marret ħażin, u dik rari tkun il-kawża. Li tgħaddi mit-tliet deċiżjonijiet fl-ordni li fiha tieħu d-deċiżjonijiet is-sistema jżomm id-dijanjosi onesta, u ma jħallx li problema ta' permess lokali tiġi trattata bħala falliment fil-validazzjoni tal-katina.
Għaddi mid-dħul fl-ordni li jagħmel il-Mac
L-ewwel il-klijent jagħżel identità: ċertifikat imqabbad ma' ċavetta privata użabbli, disponibbli permezz tal-maħżen jew tal-fornitur tal-kredenzjali appoġġjat. Imbagħad il-komponent tal-VPN jitlob li ssir operazzjoni kriptografika b'dik iċ-ċavetta, u l-mudell tal-awtorizzazzjoni lokali jwieġeb. Biss wara li t-tnejn jirnexxu jseħħ l-handshake mill-bogħod, fejn il-Mac jevalwa l-gateway u l-gateway jevalwa l-prova tal-klijent.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Aqra t-tabella minn fuq għal isfel u waqaf fl-ewwel ringiela li tfalli. Kollox taħt falliment mhuwiex ippruvat, u għalhekk “iċ-ċertifikat mhuwiex afdat” hija konklużjoni daqstant komuni u daqstant mhux affidabbli.
X'jikopri tassew il-permess lokali
Fil-mudell tal-keychain tal-macOS, l-oġġetti protetti jġorru regoli ta' aċċess speċifiċi għall-operazzjoni u lista ta' applikazzjonijiet afdati. L-iffirmar b'ċavetta privata hija waħda minn dawk l-operazzjonijiet, u r-regoli japplikaw għall-fajl eżegwibbli li jagħmilha, mhux għaċ-ċertifikat bħala dokument. Ir-referenza tal-kontroll tal-aċċess ta' Apple tiġbed linja wkoll bejn dan il-mudell u l-keychain tal-iCloud u l-arranġamenti tal-gruppi tal-aċċess, għalhekk parir miktub għal wieħed ma jgħaddix għall-ieħor.
Isegwu żewġ konsegwenzi. Ċertifikat pubbliku li jidher f'lista ma jipprovax li l-komponent tal-isfond tal-VPN jista' jasal għal dik iċ-ċavetta xejn. U permess mogħti lil applikazzjoni ta' quddiem ma jgħid xejn dwar assistent jew estensjoni tan-netwerk separati, għax huma kodi differenti b'identitajiet differenti.
Identifika l-implimentazzjoni reali u l-mekkaniżmu appoġġjat tagħha tal-qsim tal-kredenzjali minflok ma tikkopja perkors ta' fajl eżegwibbli minn klijent qadim. Ikkonferma l-ewwel liema identità se toffri s-sistema:
security find-identity -v -p ssl-clientIl-qari ta' errSecInteractionNotAllowed
Dak l-istat jirrapporta interazzjoni mhux permessa mas-Security Server, u ma jgħid xejn dwar ktajjen ta' ċertifikati. Aqrah flimkien mal-operazzjoni li pproduċieh: talba għal firma maħruġa minn kuntest li ma jistax juri talba se tfalli b'dan il-mod anki meta ċ-ċavetta u ċ-ċertifikat it-tnejn ikunu perfettament validi. Il-post biex tibda huwa l-operazzjoni li rreġistrat, mhux il-maħżen taċ-ċertifikati. Kull ma tbiddel dwar l-ankri tal-fiduċja se jħalli l-iżball eżatt fejn kien.
Għalhekk ittratta l-kodiċi bħala raġuni biex teżamina l-kuntest tal-eżekuzzjoni u l-awtorizzazzjoni. Li ttrattah bħala prova li l-CA tal-gateway mhuwiex afdat iwasslek għan-nofs ħażin tal-problema, u l-bidla li tagħmel hemm ma taffettwax l-iżball xejn.
Sewwi b'mod dejjaq, mhux wiesa'
Ibda mill-istruzzjonijiet tar-reġistrazzjoni jew tal-importazzjoni tas-sid tal-konnessjoni. Irreġistra l-verżjoni tal-klijent, l-ambitu tal-profil, l-identità magħżula u l-ewwel żball lokali rilevanti, għax dawk l-erba' fatti huma dak li jeħtieġ trasferiment lill-appoġġ u li minnhom jiddependi tqabbil aktar tard. Profil immexxi jew identità appoġġjata mill-hardware tista' teħtieġ li l-amministratur jew il-fornitur isewwi t-trasferiment, u l-ebda ammont ta' klikks lokali ma jissostitwixxih.
Fejn il-prodott jistenna approvazzjoni tal-utent, ikkonferma liema komponent qed jitlob u approva biss dak l-aċċess permezz tal-fluss appoġġjat. Fejn il-komponent m'għandux mod kif iqajjem talba fil-kuntest li jaħdem fih, il-provvista trid issegwi t-triq iddokumentata mill-fornitur, mhux djalogu miġbud minn tieqa oħra tat-terminal.
Żewġ bidliet jiġu miġbura flimkien fil-pariri l-qodma, u t-tnejn huma wisgħin wisq. Li tagħti lil kull applikazzjoni aċċess għaċ-ċavetta privata jwessa' l-użu lokali taċ-ċavetta ferm lil hinn mill-ħtieġa, u li tqiegħed iċ-ċertifikat fuq Always Trust tbiddel l-evalwazzjoni taċ-ċertifikati għal kollox fil-magna. L-ebda waħda ma tesprimi “din l-implimentazzjoni tal-VPN approvata, bl-użu ta' din l-identità maħsuba”.
Ivverifika lokalment qabel taqra l-gateway
Wara tiswija, ikkonferma li l-operazzjoni lokali tirnexxi qabel ma tinterpreta kwalunkwe risposta min-naħa l-oħra. Jekk l-iffirmar issa jaħdem, ċaħda sussegwenti ta' isem, katina jew ammissjoni tal-klijent hija riżultat ġdid u mhux rikorrenza, u tappartjeni lil deċiżjoni oħra b'responsabbli ieħor.
Trasferiment utli jsemmi liema mit-tliet deċiżjonijiet falla u jieqaf hemm. Qatt ma jinkludi ċ-ċavetta privata, u qatt ma jerġa' jissettja oġġetti tal-keychain mhux relatati bit-tama li folja nadifa tgħin. Stabbilixxi dawk iż-żewġ drawwiet qabel l-inċident u mhux waqtuh, meta t-tentazzjoni li tipprova kollox f'daqqa tkun l-aktar qawwija. Ticket li jgħid “il-keychain inibna mill-ġdid” kważi ma jgħid xejn lill-qarrej li jmiss dwar il-ħsara oriġinali.