Ċertifikat VPN tal-Mac: għaliex l-għażla tal-identità tibqa’ vojta
Il-klijent jeħtieġ ċertifikat bil-muftieħ privat tiegħu, f’maħżen li jaqra. Iċċekkja l-identità l-ewwel, imbagħad jekk il-gateway taċċettahiex.
Installaċ-ċertifikat, jidher fil-Keychain Access b’isem familjari, u xorta l-għażla tal-identità tal-klijent VPN tibqa’ vojta. Il-klijent mhux qed ifittex ċertifikat. Qed ifittex identità: ċertifikat imqabbad mal-muftieħ privat li jista’ jipprova l-pussess, maħżun fejn il-klijent huwa permess jaqrah.
Dak li jitlob il-klijent hija identità
Il-qafas tas-sigurtà ta’ Apple jqis ċertifikat u identità bħala oġġetti differenti. Ċertifikat huwa data pubblika. Identità hija dak iċ-ċertifikat flimkien mal-muftieħ privat tiegħu, u biss l-identità tista’ ttemm sfida. Ċertifikat CA affidabbli, min-naħa l-oħra, jippermetti lill-klijent jevalwa emittent; ma jagħmilx il-magna d-detentur ta’ kredenzjali tal-klijent maħruġa.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Għalhekk l-importazzjoni ta’ fajl .cer qatt ma tipproduċi identità tal-klijent użabbli. Il-fajl iġorr biss materjal pubbliku, u l-ebda bidla fl-isem jew fiduċja ma tagħmilha par muftieħ.
Tliet raġunijiet għaliex l-għażla tibqa’ vojta
L-ewwel hija muftieħ privat nieqes, li jfisser li l-proċess tar-reġistrazzjoni jew tal-importazzjoni ma pprovda ebda wieħed. It-tieni hija maħżen li l-klijent ma jikkonsultax: profil b’ambitu tal-utent ifittex fil-keychain tal-utent, u oġġett imqiegħed f’maħżen tas-sistema jista’ jkun inviżibbli għalih. It-tielet hija nuqqas ta’ qbil fil-għan jew fil-politika, fejn iċ-ċertifikat jeżisti iżda mhuwiex validu għall-awtentikazzjoni tal-klijent skont ir-regoli tal-varar.
security find-identity -v -p ssl-clientDan jelenka l-identitajiet li s-sistema tqis validi għall-awtentikazzjoni tal-klijent. Jekk l-għadd huwa żero, il-problema hija qabel il-klijent VPN u l-ebda editjar tal-profil mhux se jsewwiha. Jekk l-identità tidher hawn iżda mhux fil-klijent, id-differenza hija fil-maħżen jew fl-ambitu tal-klijent.
Fejn jgħix il-muftieħ privat, u min jista’ jużah
Meta timporta identità mill-Keychain Access, id-djalogu tal-importazzjoni joffri keychain destinazzjoni. Liema destinazzjoni hija korretta jiddependi mill-klijent u minn jekk il-profil huwiex fl-ambitu tal-utent jew tal-apparat. Tweġiba qadima li tirrakkomanda l-keychain tas-sistema mhijiex regola universali, u l-ikkupjar ta’ oġġetti bejn maħżen u ieħor mhuwiex tiswija.
System Roots hija ġabra ta’ fiduċja. It-tqegħid ta’ ċertifikat hemmhekk ibiddel liema emittenti s-sistema tafda; ma joħloqx muftieħ privat, u mhuwiex maħżen tal-identità. It-tmexxija ta’ ċertifikati mhux relatati biex timtela għażla hija t-tip ta’ tiswija li tħalli magna b’sett ta’ fiduċja mwessa’ b’mod permanenti.
L-aċċess għall-muftieħ privat huwa kontroll separat. Li tagħti lil kull applikazzjoni permess biex tuża l-muftieħ issolvi l-problema tal-għażla ta’ klijent wieħed u tagħti l-istess kapaċità lil kull ħadd ieħor fuq il-magna. Agħtiha lill-klijent li jeħtieġha, u iċċekkja jekk il-muftieħ huwiex appoġġat mill-hardware jew immarkat bħala mhux esportabbli; jekk hekk, irid jintuża l-fornitur appoġġat minflok kopja esportata.
Kif il-profil jindika l-kredenzjali
F’konfigurazzjoni IKEv2 nattiva amministrata, il-profil jirreferi għall-payload tal-kredenzjali tiegħu permezz ta’ PayloadCertificateUUID. L-identità referenziata u l-mod kif ġiet ipprovduta huma li jgħoddu; l-editjar ta’ isem tat-turija fil-profil ma jsewwix referenza li tindika payload ħażin jew waħda li qatt ma pprovdiet muftieħ.
Fornitur ta’ parti terza jista’ juża mekkaniżmu tal-għażla kompletament differenti, bħall-maħżen tiegħu stess jew talba tas-sistema. Aqra d-dokumentazzjoni ta’ dak il-fornitur minflok ma tittrasferixxi suppożizzjonijiet tal-profil nattiv, u ivverifika r-referenza fil-profil li huwa tassew installat, mhux fl-abbozz tal-console tal-ġestjoni.
L-għażla u l-aċċettazzjoni huma stadji separati
Għażla mimlija tfisser li l-klijent jista’ jsib identità u jużaha. Hija ma tgħid xejn dwar jekk il-gateway se jaċċettahiex. Is-server għadu jiċċekkja l-emittent, it-tieqa tal-validità, l-istat tar-revoka u l-immappjar ta’ dik il-kredenzjali għal kont.
Ittestja ż-żewġ stadji b’mod espliċitu, f’dak l-ordni. Ikkonferma li l-identità hija offruta, ikkonnettja, u mbagħad itlob lil sid il-gateway jikkonferma liema kredenzjali ġiet ippreżentata u liema regola tal-immappjar ikkunsmatha. Jekk il-klijent joffri identità u s-server jirrifjutaha, ix-xogħol li fadal huwa fuq in-naħa tas-server. L-installazzjoni mill-ġdid taċ-ċertifikat fuq il-Mac mhux se tibdel dak ir-riżultat, kemm-il darba jiġi ripetut.