Għaliex OpenConnect jirrifjuta l-gateway wara tibdil ta’ ċertifikat?

Il-gateways jibdlu ċ-ċertifikati, u klijent li kien konness ilbieraħ jibda jieqaf fl-ewwel skambju TLS. Il-messaġġ isemmi raġuni ta’ verifika minflok ħsara tan-netwerk, u l-magna nnifisha ma nbidlitx, u dan huwa l-ħjiel utli. Li nkiser huwa r-relazzjoni bejn iċ-ċertifikat li jkun ippreżentat issa u l-għeruq li l-klijent lest jikkunsidra. Li ssewwi dan hija deċiżjoni ta’ fiduċja, għalhekk ħu dik id-deċiżjoni qabel ma tikteb għażla.

Aqra l-falliment qabel ma tbiddel xi sett ta’ fiduċja

Żball tat-tip sinjatar nieqes ifisser li l-katina tintemm f’xi ħaġa li l-klijent ma jaċċettax. Dan jista’ jkun ċertifikat imġedded minn awtorità interna, sostituzzjoni minn waħda pubblika, jew apparat fin-nofs li jippreżenta ċ-ċertifikat tiegħu stess. Il-kliem waħdu ma jistax jiddistingwi dawk il-każijiet, għalhekk ħares lejn l-emittent qabel ma tiddeċiedi.

Mexxi l-konnessjoni darba fil-quddiem u ħalliha tfalli, għax il-ħruġ interattiv iġorr l-isem tas-server, il-katina tal-emittent u l-marka tas-swaba’ li kkalkula l-klijent. Qabbel dak l-emittent ma’ awtorità li l-organizzazzjoni tiegħek tassew topera. Jekk il-marka tas-swaba’ nbidlet filwaqt li l-emittent le, ittrattaha bħala suspettuża sakemm tidher tiġdid permezz ta’ kanal li diġà tafdah. Li taqta’ u tisma’ f’dan il-punt huwa kif persuna tispiċċa twaħħal muftieħ ta’ interloper.

Innota l-verżjoni tal-klijent fl-istess nota. Parti kbira min-nuqqasijiet li jidhru bħala problemi ta’ fiduċja ġejjin minn klijent eqdem li jiltaqa’ ma’ skambju tal-gateway aktar ġdid.

Agħżel bejn li tafda l-emittent u li twaħħal muftieħ wieħed

Iż-żewġ għażliet itejbu l-konnessjoni tirnexxi. Jinqasmu aktar tard b’modi opposti, għalhekk l-għażla tappartjeni għall-falliment li tista’ tiflaħ.

Isserraħ ruħek fuq il-fajl tas-CA meta ċ-ċertifikat jiġi minn awtorità li tista’ tivverifika b’mod indipendenti, għax it-tiġdid imbagħad jibqa’ jaħdem mingħajr ma jmiss l-argumenti tal-klijent. Ipparjaw ma’ l-iswiċċ li jiddiżattiva l-għeruq tas-sistema, inkella awtorità pubblika tista’ tissodisfa l-verifika f’ismek. Minflok, waħħal meta l-gateway m’għandux CA li tista’ takkwista jew meta l-eċċezzjoni l-eqreb possibbli hija l-għan. L-ebda triq mhija aktar sigura b’mod astratt: is-CA tiskala matul it-tiġdid, it-twaħħil huwa eqreb biex jiġi rivedut.

Liema waħda tagħżel, il-valur fiduċjarju irid jasal permezz ta’ kanal li kien fiduċjarju qabel ma seħħ it-tibdil. Amministratur, sessjoni ta’ console fuq il-gateway jew kopja meħuda bil-quddiem kollha jikkwalifikaw. L-ikkupjar ta’ kwalunkwe marka tas-swaba’ li turi l-istedina huwa konvenjenti u huwa eżattament dak li jittama interloper.

Qiegħed il-valur fil-kmand li verament tniedi

It-twaħħil jivvjaġġa f’għażla ta’ ċertifikat tas-server, u l-prefiss tiegħu jiddeċiedi l-kodifikazzjoni: digests tal-muftieħ pubbliku esadeċimali taħt sha1 jew sha256, u t-twaħħil tal-muftieħ base64 taħt pin-sha256. L-għoti tiegħu jiddiżattiva wkoll il-fiduċja tas-sistema għal dik it-tħaddima, għalhekk il-muftieħ imwaħħal isir id-deċiżjoni kollha.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Il-klijent jaqbel ma’ digest maqtugħ, u jaċċetta ftit biss bħal erba’ karattri wara l-prefiss, li hija nassa mhux konvenjenza. Valur imqassar jgħaddi lokalment u xorta ma jidentifikax il-gateway li kellha f’moħħok. Ikkopja l-korda sħiħa li stampa l-klijent fl-ewwel prova minflok terġa’ tittastjaha minn messaġġ. Imbagħad ċaqlaq l-għażla lesta fil-wrapper script, fil-fajl unit jew fil-profil li jniedi l-konnessjoni, biex id-deċiżjoni ta’ fiduċja tkun revidibbli u l-emendi aktar tard ikunu deliberati.

Il-lancers tad-desktop u l-plugin NetworkManager jaħżnu l-kopja tagħhom stess tal-argumenti tal-konnessjoni. Script editjat fuq id-diska ma jilħaqx profil importat qabel, għalhekk il-valur maħżun ikompli jirbaħ.

Immaniġġja rollover mingħajr ma tissakkar barra

L-għażla tista’ tingħata aktar minn darba, għalhekk bidla ppjanata tista’ taċċetta l-muftieħ li joħroġ u dak li jidħol flimkien. Żid it-twaħħil il-ġdid qabel ma jbiddel il-gateway, żomm it-tnejn elenkati waqt li s-sessjonijiet jimirgraw, u neħħi dak irtirat ladarba jgħib il-muftieħ il-qadim. Dik it-tieqa teħtieġ sid, għax twaħħil doppju minsija jħalli muftieħ fiduċjarju mingħajr ħadd li jħares lejh. Bini mill-ġdid li jipproduċi par muftieħ ġdid ikisser twaħħil pur, u l-irkupru huwa l-istess proċedura fid-direzzjoni l-oħra.

Ikteb id-data tal-bidla ħdejn it-twaħħil. Twaħħil mingħajr data ta’ reviżjoni huwa waqfa fil-futur li ġġorr messaġġ ta’ żball konfuż.

Eskludi l-verżjoni tal-klijent qabel ma teditja l-fiduċja

Klijent antik jista’ jfalli waqt li jipparsja tweġiba ta’ awtentikazzjoni li l-gateway bidel minn dakinhar, u l-messaġġ tal-wiċċ għadu jitkellem dwar il-konnessjoni u mhux dwar il-parser. Qabbel il-verżjoni installata ma’ dak li tiddokumenta l-gateway, u ttestja pakkett kurrenti fi profil li jintuża darba qabel ma tbiddel xi sett ta’ fiduċja.

openconnect --version

Wara t-tiswija, ivverifika żewġ affarijiet u mhux waħda: il-portal jitgħabba mill-mina, u indirizz intern ordinarju jwieġeb. Handshake komplut jipprova biss li d-deċiżjoni ta’ fiduċja ġiet aċċettata.