It-talba TOTP ta’ OpenConnect nieqsa fi NetworkManager: erba’ verifiki

Il-gateway jaċċetta l-password, jitlob kodi, u d-djalogu ma joffri l-ebda qasam għalih. Xejn ma ġie ittajpjat ħażin: il-plugin ta’ NetworkManager temm l-iskambju tas-sigriet mingħajr ma talab il-valur ta’ sitt ċifri. Agħmel l-erba’ verifiki hawn taħt fl-ordni, għax waħda biss minnhom tbiddel il-klijent. Il-bqija tal-lista teskludi l-gateway, il-kont u l-bini tal-plugin.

L-ewwel verifika: aqra fejn waqfet l-awtentikazzjoni

Password ħażina tfalli minnufih. It-tieni fattur nieqes ifalli wara l-pass tal-kredenzjali, normalment b’talba ripetuta jew b’timeout fuq in-naħa tal-gateway. Il-ħin u l-log tal-gateway juru liema rawnd tħalla mingħajr tweġiba.

Aqra l-log tal-konnessjoni qabel ma tmiss il-profil. Jekk il-gateway jirrapporta awtentikazzjoni mhux kompluta jew sfida skaduta, il-klijent qatt ma bagħat il-kodiċi. Jekk jirrapporta kredenzjali mhux validi, il-problema hija l-password u l-ebda setting TOTP mhu se jsewwiha.

Innota l-ordni eżatta tat-talbiet li jistenna l-gateway: isem tal-utent, password, imbagħad kodiċi, jew isem tal-utent, kodiċi, imbagħad password. Xi gateways jerġgħu jorbtu l-rawnds, u klijent li jaf biss l-ewwel ordni se jieqaf fit-tieni.

It-tieni verifika: uża l-klijent li għandu l-isfida

OpenConnect innifsu jimplimenta l-konversazzjoni kollha, inkluż ir-rawnd tal-isfida. Li tħaddmu direttament huwa l-aktar mod prevedibbli biex tikkonferma li l-kont u l-gateway jaħdmu:

sudo openconnect --protocol=anyconnect --useragent=AnyConnect vpn.example.net

Il-klijent jistaqsi bl-ordni li biha jistaqsi l-gateway. L-user agent huwa importanti għax xi gateways jaġġustaw il-fluss tal-login għal klijent magħruf, u string ġeneriku jista’ jipproduċi fluss iqsar li qatt ma jitlob il-kodiċi. Ħaddmu darba fil-quddiem qabel ma torganizza kwalunkwe servizz fil-isfond.

Jekk il-linja tal-kmand tistaqsi sew, il-kont, il-gateway u t-tieni fattur huma tajbin. Il-problema li tibqa’ hija d-djalogu tal-plugin, mhux is-servizz tal-awtentikazzjoni. Dan jiżola l-komponent li qed ifalli mingħajr ma jmiss is-server. Żomm l-output tal-kmand mar-rekord tal-inċident.

Jekk il-linja tal-kmand taqbeż ukoll it-talba, waqfa u ċċekkja l-konfigurazzjoni tal-gateway mal-proprjetarju tiegħu. L-ebda klijent tad-desktop ma jista’ jwieġeb sfida li s-server qatt ma jibgħat.

It-tielet verifika: ara jekk il-plugin tiegħek joffrix modalità TOTP

Xi bini ta’ NetworkManager OpenConnect joffri modalità token u qasam tal-user agent fit-tab Identity tal-konnessjoni. Issettja l-user agent għall-valur li jistenna l-gateway, agħżel id-dħul manwali tat-TOTP u ssalva l-konnessjoni.

Jekk dawn il-qasmiet jeżistux jiddependi fuq il-verżjoni tal-plugin u fuq liema editur tal-konnessjonijiet juża d-desktop. Editur awtonomu jista’ juri għażliet li l-panel GNOME jaħbi, jew bil-kontra. Iċċekkja l-verżjoni tal-pakkett installat qabel ma tfittex setting moħbi.

Jekk il-modalità token teżisti u t-talba xorta ma tidhirx, il-bini m’għandux il-konsenja tal-isfida bejn il-plugin u d-djalogu ġeneriku tas-sigrieti. Li terġa’ tittajpja l-password, terġa’ tinstalla l-istess pakkett jew tnaddaf iċ-ċavetta ma joħloqx qasam li l-bini ma jimplimentax.

Ir-raba’ verifika: ittratta kodiċi ġġenerat bħala kompromess

Skript jista’ jsejjaħ oathtool għall-kodiċi attwali u jgħaddi isem tal-utent, password u kodiċi fi nmcli connection up --ask. Is-sekwenza taħdem, iżda s-sigriet komuni jispiċċa maħżun f’post li jista’ jaqrah kulmin jista’ jiftaħ l-iskript, u dak il-qarrej jista’ joħloq kodiċijiet għal dejjem. Dan huwa estensjoni permanenti tal-wiċċ tal-kredenzjali, mhux tiswija tal-klijent.

Kulmin jagħżel dan għandu jissakkar il-fajl tas-sigriet għal root, iżomm il-valuri ġġenerati barra mill-istorja tas-shell u jittratta l-iskript bħala materjal ta’ kredenzjali. Wrapper li jirrepeti l-kodiċi fit-terminal jarmi t-tieni fattur. Iċċekkja l-wrapper l-ewwel b’kont li jintrema.

L-iskript irid ukoll isegwi l-ordni tat-talbiet tal-gateway. Jekk is-server jitlob il-kodiċi qabel il-password, sekwenza fissa tal-input tibgħat il-valur ħażin lit-talba ħażina u tipproduċi l-istess awtentikazzjoni mhux kompluta. Ipprattika b’kont tat-test qabel ma twaħħlu ma’ xogħol tal-login.

Ikkonferma l-istess gateway u l-istess kont

Ittestja kull soluzzjoni alternattiva kontra l-istess gateway, l-istess kont u l-istess grupp ta’ tunnel. Gateway li jitlob ukoll ċertifikat tal-apparat jista’ jirrifjuta l-klijent tal-linja tal-kmand għal raġuni mhux marbuta mat-TOTP, u l-ordni tat-talbiet tista’ tkun differenti minn dik ipprattikata.

Innota l-klijent, il-verżjoni tiegħu, l-user agent u l-ordni tat-talbiet li ħadmet. Dak ir-rekord jgħid lill-persuna li jmiss jekk il-problema hijiex fil-bini tal-plugin, fil-fluss tal-gateway jew fil-politika tal-kont, mingħajr rawnd ieħor ta’ reset tal-passwords.

Iffinalizza billi terġa’ tqabbad darba wara logout sħiħ. Sigriet fil-cache jista’ jġiegħel fluss miksur jidher imsewwi sas-sessjoni li jmiss, u fit-tieni konnessjoni t-talba nieqsa normalment terġa’ lura.