Hi --key-password ta' OpenConnect il-password tal-kont VPN tiegħek?

Aqra l-isem tal-għażla b'mod litterali. Huwa jsemmi ċavetta, u l-konfużjoni tibda meta l-fajl li qed jiġi żblukkat jiġi kkonfuż mal-kont li qed jiġi awtentikat. Waħħal il-password tal-kont f'dik l-għażla u l-klijent jipprova jiftaħ fajl taċ-ċavetta biha, li jonqos għal raġunijiet li m'għandhom xejn x'jaqsmu mad-dħul fil-VPN.

Il-parti konfuża hija li konnessjoni waħda tista' b'mod leġittimu teħtieġ iż-żewġ sigrieti. L-awtentikazzjoni b'ċertifikat tal-klijent tista' teħtieġ ċavetta encrypted, u l-istess gateway jista' xorta jagħmel skambju ta' awtentikazzjoni tal-utent wara li ċ-ċertifikat jiġi aċċettat. L-ebda sigriet ma jissodisfa l-istadju l-ieħor, u falliment f'wieħed jidher minn barra ħafna bħal falliment fl-ieħor.

Żewġ sigrieti, żewġ xogħlijiet differenti

Aqra r-rwoli bħala aċċess għall-fajl kontra ammissjoni fin-netwerk. Il-password taċ-ċavetta tiddeċifra ċ-ċavetta privata PEM imsemmija f'--sslkey sabiex iċ-ċertifikat tal-klijent TLS jista' jiġi ppreżentat. Dik id-deċifrar isseħħ lokalment, ġewwa l-proċess tal-klijent, u l-passphrase nnifisha qatt ma tivvjaġġa lejn il-gateway. Dak li jara l-gateway huwa ċ-ċertifikat u firma magħmula biċ-ċavetta. Il-manwal ta' OpenConnect iżomm --key-password ħdejn --certificate u --sslkey, u fil-builds li jistgħu jużaw ċavetta miżmuma f'TPM l-istess għażla tġorr minflok il-password taċ-ċavetta ewlenija tal-ħażna.

Il-password tal-kont hija ta' tip differenti. Hija tidħol fl-iskambju tal-awtentikazzjoni: formola tal-isem tal-utent u l-password, token, dawra SAML, jew xi kombinazzjoni li tħabbar il-gateway. Xi installazzjonijiet ma jitolbuhiex xejn meta ċ-ċertifikat huwa l-uniku fattur, u oħrajn jitolbuha anke wara ċertifikat, għax iċ-ċertifikat jipprova l-apparat filwaqt li l-kont jipprova l-persuna.

It-taħlit tat-tnejn jipproduċi żbalji qarrieqa. Gateway li jirrifjuta dħul normalment jirrapporta falliment ta' awtentikazzjoni, filwaqt li passphrase taċ-ċavetta żbaljata normalment tonqos qabel, meta s-saff TLS ma jistax jaqra l-fajl taċ-ċavetta. Dawn huma stadji differenti b'tiswijiet differenti, u l-ismijiet huma simili biżżejjed biex in-nies jaqilbuhom u mbagħad jiġru wara l-log ħażin. Innota liema talba dehret qabel ma tbiddel xi setting, għax il-kliem tat-talba huwa l-ifjen dijanjosi li għandek.

Meta l-password taċ-ċavetta tassew tkun meħtieġa

L-għażla għandha sens biss meta jkun hemm ċavetta encrypted x'tiżblokka. Jekk tikkonnettja b'isem tal-utent u password u mingħajr ċertifikat tal-klijent, --key-password m'għandhiex fuq xiex taġixxi, u li tinkludiha ma jbiddel xejn. Jekk tikkonnettja b'--certificate u --sslkey, il-format tal-fajl taċ-ċavetta nnifsu jiddeċiedi jekk tintalabx passphrase.

Iż-żewġ sigrieti fi kmand wieħed huma komuni f'ambjenti ġestiti: ċertifikat tal-apparat f'ċavetta encrypted, flimkien ma' dħul għal kull utent. Is-sekwenza t-tajba hija li l-klijent jitlob il-passphrase taċ-ċavetta lokalment, jiġi kompletat il-handshake taċ-ċertifikat, u mbagħad tintrata t-talba tal-kont tal-gateway b'mod separat. L-attentat li ż-żewġ jitwimlew bil-quddiem permezz ta' skript wieħed użat mill-ġdid huwa fejn il-konfużjoni normalment tibda.

Dijanjosi utli hija li tara meta jseħħ il-falliment. Jekk il-klijent jieqaf qabel ma tibda xi awtentikazzjoni tan-netwerk, issuspetta l-fajl taċ-ċavetta, il-format tiegħu jew il-passphrase. Jekk is-sessjoni TLS tiġi stabbilita u mbagħad il-gateway jirrifjuta l-utent, iċ-ċavetta għamlet xogħolha u l-problema hija l-iskambju tal-kont.

Żomm iż-żewġ sigrieti barra mill-istorja tas-shell

L-argumenti tal-linja tal-kmand jistgħu jinqraw minn utenti lokali oħra permezz tat-tabella tal-proċessi u spiss jinqabdu fl-istorja tas-shell, fl-iscripts u fit-traskrizzjonijiet tal-appoġġ. OpenConnect jista' jaqra l-password tal-kont mill-input standard b'--passwd-on-stdin, u l-passphrase taċ-ċavetta tista' tiġi minn talba interattiva jew minn aġent minflok minn argument. L-ebda mekkaniżmu ma jagħmel is-sigriet sigur waħdu, iżda t-tnejn iżommuh 'il bogħod mill-postijiet l-aktar esposti.

Il-fajls jixirqilhom l-istess attenzjoni. Skript li jikteb passphrase fi fajl temporanju għandu joħolqu b'permessi restrittivi, iħassru mal-ħruġ u jevita direttorji li jinqraw minn kulħadd. Passphrase li tibqa' wara s-sessjoni f'direttorju temporanju hija kopja li nsejt tagħmel. Il-varjabbli tal-ambjent huma viżibbli għall-proċessi tat-tfal u spiss jiġu stampati mill-għodda tad-debug, għalhekk mhumiex titjib b'xejn fuq l-argumenti.

L-output tad-dijanjosi huwa l-leak sieket. Il-logs tal-klijent b'livell ogħla ta' dettall jistgħu juru korpi tat-talbiet jew valuri tal-għażliet, u traskrizzjoni tat-terminal ikkupjata hija faċli li tpejjipha f'ticket, għalhekk aqra l-output qabel ma taqsamha.

Buttun mejjet tad-desktop huwa ħsara differenti

Dħul VPN tad-desktop li juri spinner u mbagħad xejn normalment mhuwa xejn problema ta' awtentikazzjoni. Il-buttun jappartjeni lil manager tan-netwerk, aplet tal-fornitur jew plugin li jniedi OpenConnect f'ismek, u komponent nieqes jew profil li ma jinqrax jistgħu jipproduċu eżatt dak is-sintomu. Sib liema proċess iniedi l-buttun u aqra l-iżball tiegħu qabel ma tmiss il-kredenzjali.

Huwa tentattiv li tittaffa l-verifika taċ-ċertifikat jew li titfi kontroll meta l-GUI tirrifjuta li tikkonnettja. Dan ibiddel ħsara fl-integrazzjoni tal-klijent fi tnaqqis tas-sigurtà u rari jsewwi l-problema tat-tnedija. Żomm il-verifika tas-server intatta, ikkonferma li l-profil jipponta lejn il-gateway maħsub, u ċċekkja li l-għajnuna li tistenna l-GUI hija tassew installata.

Lista ta' kontroll qasira tifred il-każijiet. Falliment lokali qabel ma joħroġ xi pakkett jindika ċ-ċavetta jew l-installazzjoni tal-klijent. Rifjut tal-gateway wara s-sessjoni TLS jindika l-iskambju tal-kont. Buttun li qatt ma jniedi l-klijent jindika l-integrazzjoni tad-desktop. Tliet ħsarat differenti, u waħda minnhom hija password li kont se tpejjipha fil-kaxxa l-ħażina.