Kif OpenConnect ibiddel cookie tal-login f'tunnel?

OpenConnect jorbot żewġ skambji separati b'valur wieħed ta' ħajja qasira: id-dħul fil-web u t-tunnel VPN. L-ewwel skambju huwa HTTPS ordinarju: il-kredenzjali, vjaġġ SAML jew token imorru lejn il-gateway, u t-tweġiba ġġorr cookie tal-awtentikazzjoni. It-tieni skambju jippreżenta dak il-cookie lill-istess gateway bħala prova li l-fażi tal-web diġà seħħet, u biss imbagħad jitla' t-tunnel.

Matul id-dħul ma jiġi nnegozjat xejn dwar it-tunnel. Dan huwa l-parti li jixirqilha tinftiehem, għax il-biċċa l-kbira tal-iżbalji fl-iskripts jassumu li l-cookie huwa password li għandu jinħażen, jew ċavetta li tipproteġi t-traffiku, meta fil-verità huwa biljett ta' ġarrier għal sessjoni speċifika tal-gateway.

X'jiskambjaw il-klijent u l-gateway, bl-ordni

Il-fażi tal-awtentikazzjoni tidher bħal sit web protett ordinarju. OpenConnect jibgħat il-kredenzjali tal-utent, jew isegwi r-ridirezzjoni tal-gateway lejn fornitur tal-identità, u l-gateway iwieġeb b'dokument li jinkorpora l-cookie tal-awtentikazzjoni. Fil-protokoll AnyConnect dak il-valur jivvjaġġa f'intestatura tal-cookie fit-talbiet li jmiss, normalment b'isem bħal webvpn, u l-manwal jittrattah bħala l-kredenzjali li ġġorr is-sessjoni 'l quddiem.

It-tieni fażi hija talba CONNECT lejn il-punt tat-tmiem VPN tal-gateway b'dak il-cookie mehmuż. Il-gateway jiċċekkjah, jassenja indirizz, u l-klijent jibda CSTP fuq TLS, b'DTLS bħala mogħdija tad-data aktar mgħaġġla fakultattiva ladarba s-sessjoni teżisti. Biss f'dan il-punt jiġu stabbiliti l-parametri tat-tunnel, ir-rotot, is-settings tad-DNS u ċ-ċwievet tat-traffiku tas-sessjoni. Il-cookie għadda lill-klijent mill-bieb; ma kkripta xejn.

Dan l-ordni jispjega għaliex jeżisti openconnect --authenticate. Mexxih, u jagħmel il-fażi tal-web, jipprintja blokka żgħira ta' varjabbli tal-qoxra bħal COOKIE, HOST, CONNECT_URL u FINGERPRINT, u mbagħad joħroġ qabel ma jinbena xi tunnel. Skript tal-qoxra jista' mbagħad jibda l-konnessjoni vera b'dawk il-valuri, u dan huwa eżattament id-diviżjoni li teħtieġ installazzjoni bla skrin jew b'żewġ kontenituri.

Il-cookie huwa ġarrier tas-sessjoni, mhux ċavetta

Ittratta l-valur kif kont titratta identifikatur tas-sessjoni f'applikazzjoni web. Kull min iżżommha matul ħajjitha jista' jitlob mill-gateway it-tunnel li għalih dik is-sessjoni hija intitolata, għalhekk is-segretezza tagħha hija importanti. Iżda l-ikkupjar ma jiżvelax traffiku, għax il-kunfidenzjalità tat-tunnel ġejja mill-ħidma tal-idejn TLS u ċ-ċwievet derivati, mhux mill-istring tal-cookie.

Hija wkoll mhix għotja permanenti. Il-gateway u l-fornitur tal-identità jiddeċiedu kemm iddum ħajja s-sessjoni, u browser li għadu juri paġna midħula ma jgħid xejn dwar jekk is-sessjoni tat-tunnel għadhiex valida. Li terġa' tikkonnettja wara l-iskadenza tfisser li tirrepeti l-fażi tal-web u tipproduċi cookie ġdid, u dan huwa l-punt tal-awtentikazzjoni mill-ġdid, mhux inkwiet li għandu jiġi evitat bl-inġinerija.

Tiħux cookie bħala sostitut universali għal kredenzjali oħra. Asserzjoni SAML, password tal-browser u cookie maħruġ minn servizz ieħor huma oġġetti differenti b'udjenzi differenti, u li twaħħal wieħed fil-qasam tal-ieħor normalment ifalli fil-gateway jew, agħar minn hekk, jirnexxi kontra l-limitu tal-fiduċja żbaljat.

Ngħaddi l-cookie mingħajr ma nħalli kopji

L-aktar konsenja mekkanika sigura fuq Linux hija l-input standard. --cookie-on-stdin jaqra l-valur minn stdin, għalhekk il-cookie qatt ma jidher fil-lista tal-argumenti tal-proċess, fejn kull utent lokali jista' jaqrah bil-ps. Pipeline li jawtentika fi proċess wieħed u jitma t-tunnel fi proċess ieħor iżomm il-valur f'pajp minflok f'file jew f'varjabbli tal-ambjent.

L-argumenti u l-varjabbli tal-ambjent huma aktar dgħajfa għal raġunijiet differenti. Argument jidher fit-tabella tal-proċessi għall-ħajja kollha tal-klijent u spiss jispiċċa fl-istorja tal-qoxra. Varjabbli tal-ambjent jiġi wirt mill-proċessi tfal, u unità systemd li tistabbilixxiha fil-file tal-unità taħżen is-sigriet f'konfigurazzjoni tinqara. Jekk file huwa neċessarju, illimitah għall-kont tas-servizz u neħħih meta tintemm is-sessjoni.

Żomm ukoll il-limitu tal-privileġġi b'mod intenzjonat. Il-proċess li jitkellem mal-fornitur tal-identità u forsi jiftaħ browser għandu jaħdem bħall-utent li lilu jappartjeni dak id-dħul. Il-proċess li jikkonfigura rotot, DNS u l-apparat tat-tunnel jista' jkun jeħtieġ aktar privileġġi. Li tmexxi l-browser kollu bħala root biex il-cookie tiegħu jkun disponibbli għal tunnel proprjetà ta' root hija l-bidla żbaljata, u l-konfigurazzjonijiet moderni ta' OpenConnect jistgħu jgħaddu l-valur minn dak il-limitu b'mod espliċitu.

Il-logging jistħoqqlu l-istess suspett. Output dettaljat tal-klijent, skripts ta' għajnuna u dijanjostika tal-gateway kollha jistgħu jtennu materjal tat-talba, u mhux kull livell tal-log jaħbi l-cookie. Aqbad l-iżgħar rekord tal-iżball li għandek bżonn, żommu barra minn kanali maqsuma, u ċċekkja kampjun moħbi qabel ma tmehmu ma' ticket.

Verifika u skadenza fit-tieni fażi

It-tieni fażi xorta trid tivverifika s-server. Il-FINGERPRINT li jipprintja --authenticate huwa pin taċ-ċertifikat fil-forma pin-sha256:, u li tgħaddih lis-sejħa tat-tunnel bil---servercert iżomm il-verifika ankata mal-gateway li kont awtentikajt miegħu. Li titfi l-verifika taċ-ċertifikati biex tissimplifika skript tneħħi l-unika prova li l-cookie qed jiġi mgħoddi lill-host maħsub.

Meta l-gateway jirrifjuta l-cookie, is-soluzzjoni hija rawnd ġdid ta' awtentikazzjoni, mhux cache itwal. Aħżen il-cookie biss għall-ħajja tal-konnessjoni, ħassar il-files temporanji waqt il-ħruġ, u uża l-proċess tat-tneħħija tas-sessjoni tal-fornitur tal-identità jew tal-gateway meta sessjoni tiġi esposta jew apparat jintilef. Cookie fil-cache mhuwiex eżenzjoni mill-MFA.

Qabel tawtomatizza dan, ivverifika erba' affarijiet: it-tunnel jaħdem taħt il-kont it-tajjeb, il-cookie jasl bil-stdin, il-marka tas-swaba' taċ-ċertifikat hija pinned, u s-sessjoni tintrema meta jingħalaq it-tunnel. Jekk xi waħda minnhom hija nieqsa, l-awtomatizzazzjoni wessgħet il-fiduċja fil-cookie minflok ripproduċiet il-fluss manwali.