OpenConnect csd-wrapper: awditja l-iskript qabel il-login

Żżid --csd-wrapper ma’ profil tgħaddi skript lokali lil daemon li jħaddmu waqt il-login, għalhekk id-deċiżjoni quddiemek hija reviżjoni tal-kodiċi, mhux toggle ta’ preferenza. L-għażla teżisti sabiex il-komponent tal-verifika tal-host tal-gateway jista’ jiġi sostitwit, u tieħu mogħdija lejn skript li tipprovdi int. Kollox hawn taħt jassumi li s-sid tad-deployment diġà qal liema verifika tal-pożizzjoni hija meħtieġa; jekk dik il-parti għadha miftuħa, issolviha l-ewwel. Il-gwida għandha erba’ passi: sib l-istadju li falla, aqra l-iskript, agħżel l-identità li biha jaħdem, u ipprova r-riżultat.

Pass 1: Sib l-istadju li falla

Il-messaġġ finali tal-klijent normalment ikun dwar cookie, li huwa t-tmiem ta’ katina u mhux il-bidu tagħha. Login HTTPS, verifika taċ-ċertifikat tas-server, skambju ta’ awtentikazzjoni u komponent tal-pożizzjoni kollha jinsabu quddiem dak il-messaġġ.

Irreġistra l-verżjoni u l-indirizz tal-login li qed jintużaw, imbagħad erġa’ agħmel l-attentat bl-output dettaljat jinżamm fuq it-terminal tiegħek stess. Aqra l-ewwel żball li mhuwiex tentattiv mill-ġdid, mhux l-aħħar linja tat-traskrizzjoni. Jekk il-log jieqaf qabel ma jissemma xi komponent ta’ valutazzjoni, il-wrapper għad mhuwiex il-problema tiegħek. Iżżidu f’dak il-punt biss iwessa’ l-wiċċ li jkollok tiddefendi aktar tard.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Żomm it-traskrizzjoni lokalment, għax il-cookies u t-tweġibiet tal-awtentikazzjoni huma materjal ta’ aċċess. Traċċa mwaħħla fi thread ta’ chat hija telf ta’ kredenzjali anke meta l-pass tal-valutazzjoni jidher bla ħsara. Aqsam it-test tal-iżball u l-punt fil-fluss fejn deher, qatt il-payload.

Pass 2: Aqra l-iskript qabel ma jidħol fi profil

Wrapper huwa daqstant affidabbli daqs ir-reviżjoni li eżaminajt, għalhekk iffissa dik ir-reviżjoni u aħżen il-hash tagħha ħdejn in-nota tal-approvazzjoni. Iż-żewġ kmandi hawn taħt jagħtuk marka tas-swaba’ u verifika tas-sintassi irħisa qabel ma taqra linja waħda. Jagħtu wkoll referenza fissa lill-persuna li jmiss, li tgħodd meta l-fajl jgħix barra l-immaniġġjar tal-pakketti. L-ebda kmand ma jgħid x’jagħmel l-iskript, għalhekk ħaddimhom u kompli aqra.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Aqra l-fajl kollu b’erba’ mistoqsijiet f’moħħok: jagħmel sejħiet HTTP ħerġin, jaqra fajls ta’ kredenzjali jew varjabbli tal-ambjent, jikteb barra direttorju temporanju, u xi fergħa tirrapporta pożizzjoni mgħoddija mingħajr ma tkejjel xejn. Dak il-mudell tal-aħħar huwa bypass tal-politika b’linja tal-log imwaħħla. Wrappers ikkupjati għandhom tendenza jfaħħuħ wara verifika li tidher plawżibbli. Jekk l-iskript jiddeċiedi li l-apparat huwa tajjeb qabel ma jħares lejn l-apparat, waqfa hemm.

Iċċekkja wkoll payloads ippakkjati, għax intestatura li tinqara ma tipprova xejn dwar il-bqija tal-fajl. Li tniżżel skript minn thread tal-forum ma jagħmilhiex affidabbli biss għax isimha jinstema’ bħal komponent reali tal-verifika tal-host. Irreġistra min installaha, minn fejn ġiet u kif se tiġi aġġornata.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Pass 3: Agħżel l-identità li biha jaħdem il-wrapper

--csd-user ibaxxi l-privileġġi waqt li jkun qed jiġi eżegwit il-programm CSD, TNCC jew HIP. Dak il-kont huwa parti mill-arranġament lokali tal-eżekuzzjoni, mhux l-isem tal-utent sottomess lill-gateway.

Agħti lill-wrapper kont dedikat mingħajr shell interattiv, mingħajr drittijiet sudo u mingħajr sħubija ta’ gruppi li mhuwiex bżonnhom. Agħti aċċess ta’ qari lill-iskript u lill-fajls speċifiċi li jispezzjona, imbagħad ipprova t-tnaqqis qabel ma tmiss il-profil VPN. Li ssib il-problema hawn jiswa inqas milli ssibha ġewwa l-klijent.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

It-tnaqqis tal-privileġġi jillimita l-ħsara li skript ħażin jista’ jagħmel. Iżda ma jirrevedix il-kodiċi, ma jagħmilx ir-rapport veritier u ma jurix li l-amministratur tal-gateway jaċċetta din l-implimentazzjoni bħala konformità mal-politika tal-apparati.

Pass 4: Żomm il-bidla riversibbli

Agħmel backup tal-profil qabel ma tedital, u żomm il-wrapper taħt il-kontroll tal-verżjonijiet sabiex rollback jirrestawra hash magħruf minflok ifittex kopja. Ikteb il-mogħdija tal-iskript, il-hash, l-utent tal-eżekuzzjoni u l-approvat f’post wieħed.

Biex tirreverti, neħħi l-għażla, erġa’ ibda l-klijent u kkonferma li l-iżball oriġinali jerġa’ lura. Jekk il-gateway għadu jirrifjuta l-login wara r-revert, xi ħaġa oħra nbidlet ukoll, u li ssib dik id-differenza jiġi qabel ma terġa’ tipprova l-wrapper. Żomm il-kopja preċedenti matul it-tieqa tal-bidla kollha, li għal ħafna timijiet tfisser sakemm tgħaddi t-tieqa tal-manutenzjoni li jmiss.

Wara tnedija b’suċċess, iċċekkja żewġ affarijiet minflok waħda: it-tunnel jogħla, u apparat li għandu jonqos fil-verifika tal-pożizzjoni għadu jiġi rrifjutat. Konnessjoni li taħdem għal kulħadd mhijiex prova li l-valutazzjoni baqgħet ħajja mill-bidla tiegħek.

Sħabiet li joħolqu t-tieni problema

Tħallix lill-assistent jirrapporta stat konformi mingħajr ma jwettaq il-verifiki meħtieġa, u ma tissostitwix l-identità tal-pjattaforma biex taqbel ma’ sistema operattiva oħra. L-istqarrija ta’ pjattaforma differenti mhijiex prova li l-apparat veru jissodisfa l-politika. Dan iħallik bi klijent li jigdeb f’kull login futur.

L-iżattivar tal-verifika tas-server, it-tiswir mill-ġdid ta’ cookie qadima u l-istivjar ta’ skripts mhux riveduti kollha jbiddlu falliment viżibbli ma’ wieħed inviżibbli. Jekk il-klijent installat ma jistax itemm il-fluss appoġġjat, itlob alternattiva approvata minflok tgħawweġ dik li għandek.

Il-manwal ta’ OpenConnect jiddokumenta --csd-wrapper u --csd-user separatament, u dan huwa l-ħjiel li jgħodd: l-iskript u l-identità huma żewġ deċiżjonijiet. Erreġi hom separatament u ikteb it-tnejn. Imbagħad il-prompt tal-login ma jibqax misteru li ssolvi billi tippejst kodiċi.