OpenVPN jaqtà sessjoni OTP aktar tard: x'teħtieġ l-awtentikazzjoni mill-ġdid

Mill-ġenb tal-klijent jidher bħala qtugħ każwali siegħa wara li tibda sessjoni tax-xogħol. L-ikona fit-tray tgħib, il-mina tinbena mill-ġdid, u l-log juri falliment ta' awtentikazzjoni minflok żball tan-netwerk. Dak li fil-fatt ġara huwa li s-sessjoni reġgħet innegozjat u t-tieni handshake kien jeħtieġ kredenzjali li l-klijent ma kellux aktar kopja valida tagħhom. Kod ta' darba li ħadem fil-login ma jistax jaħdem mill-ġdid, għalhekk ir-rekey ifalli eżatt kif iddisinjat.

Is-soluzzjoni hija deċiżjoni dwar x'għandu jippreżenta t-tieni handshake, mhux timer ta' retry itwal.

Imxi l-iskambju mill-perspettiva tal-klijent

Fil-login il-klijent jibgħat l-isem tal-utent, il-password u kod mill-apparat token, u s-server jaċċetta l-kombinazzjoni. Imbagħad is-sessjoni tkompli sakemm jiskatta trigger ta' negozjar mill-ġdid, li jibda handshake TLS ġdid ġewwa l-mina eżistenti. Dak il-handshake jerġa' jitlob awtentikazzjoni. Jekk il-passaġġ tal-awtentikazzjoni tas-server jistenna password flimkien ma' kod ta' darba kurrenti, il-klijent m'għandux kod ġdid x'jippreżenta sakemm l-utent ma jkunx preżenti biex jittajpjah.

Il-biċċa l-kbira tal-klijenti ma jiftħux prompt f'nofs is-sessjoni, għalhekk il-handshake jiskadi u l-mina taqa'. L-utent jara rikonnessjoni, mhux prompt ta' awtentikazzjoni, u għalhekk l-ewwel rapport normalment jakkuża n-netwerk.

auth-gen-token jibdel min iwieġeb it-tieni mistoqsija

L-għażla auth-gen-token tħalli lis-server joħroġ token wara login b'suċċess, u negozjati mill-ġdid aktar tard jippreżentaw dak it-token minflok ma jirrepetu l-password u l-kod. Il-manwal jiddokumenta il-ħajja u l-imġiba tat-tiġdid tiegħu, u t-token irid jiġi trattat bħala kredenzjali bi skadenza tiegħu stess. Fil-passaġġ default is-server jivvalida t-token hu stess minflok ma jerġa' jsejjaħ l-awtentikatur tal-password estern.

B'integrazzjoni ta' awtentikazzjoni esterna, dik id-diviżjoni tinbidel. Il-plugin irid jifhem l-istat tat-token u japplika l-kontrolli tiegħu, għax is-server m'għadux l-unika komponent li jiddeċiedi jekk is-sessjoni tkomplix. Li t-token jiġi trattat bħala ieħor kod ta' darba numeriku mhuwiex implimentazzjoni ta' din il-karatteristika.

Iddeċiedi x'jiġri mill-istat tal-kont

Token li jgħix aktar mill-aċċess ta' kont huwa toqba fil-policy. Iddeċiedi kif kont diżattivat, sħubija fi grupp imneħħija jew apparat revokat jieħdu effett waqt li token għadu validu. Ħajja qasira tat-token iċċekken it-tieqa; passaġġ espliċitu ta' revoka jagħmilha intenzjonata. Ikteb it-tweġiba qabel ma tattiva l-għażla, għax il-passaġġ default ma jikkonsultax l-awtentikatur estern fuq kull negozjar mill-ġdid.

F'implementazzjoni b'ħafna servers, is-sigriet tal-firma tat-token irid jiġi kondiviż, inkella l-klijent jista' jintbagħat lejn nod li ma jistax jivvalida t-token tiegħu.

Ittesta l-iskadenza u r-rikonnessjoni, mhux biss il-login

Naqqas l-intervall ta' negozjar mill-ġdid fi profil tat-test sabiex it-tieni handshake iseħħ waqt li qed tara, imbagħad segwi ż-żewġ logs. Ikkonferma li t-token jinħareġ fil-login, jiġi ppreżentat fil-bidla tal-kjavi, u jiġi mġedded jew maħruġ mill-ġdid skont il-ħajja konfigurata. Imbagħad ġġiegħel skadenza tat-token u rikonnessjoni sħiħa, għax klijent li jerġa' jikkonnettja b'mod nadif xorta jista' jfalli fil-passaġġ tal-bidla tal-kjavi.

Ittesta t-tneħħija tal-kont fl-aħħar. Dak il-każ jgħidlek jekk il-policy li ktibt hijiex infurzata jew sempliċement iddokumentata.

Tissewwexha billi tiddiżattiva t-tiġdid

L-issettjar tal-intervall ta' negozjar mill-ġdid għal żero fuq iż-żewġ peers ineħħi s-sintomu u miegħu r-rotazzjoni tal-kjavi. Dan jaħbi problema ta' replay tal-kredenzjali wara bidla fil-policy li ħadd ma rreveda. Żomm it-tiġdid, u agħżel bejn token maħruġ mis-server u sfida interattiva ġdida skont jekk l-utent huwiex preżenti.

Timer ta' retry itwal ma jagħmilx kod li ntefa' validu mill-ġdid. Huwa biss jittardja l-qtugħ u jagħmel il-log iktar diffiċli biex tinqrah.