OpenVPN username-as-common-name: għaliex il-verifika CN tiegħek hija vojta

Inti żżid skript client-connect li jirrifjuta kull konnessjoni fejn common_name huwa differenti minn username, u jidher bħala rabta bejn xhieda u kont. Fuq server li jħaddem username-as-common-name, dik il-paragun diġà tilef it-tifsira tiegħu meta l-iskript jopera. Iż-żewġ valuri huma l-istess stringa, għalhekk it-test jgħaddi għal xhieda maħruġa lil xi ħadd ieħor għal kollox.

Il-verifika mhijiex ħażina għax l-iskript miktub ħażin. Hija ħażina għax il-valur li taqra kien issostitwit qabel fl-istess konnessjoni.

X'jidher li tipprova l-paragun

L-awtentikazzjoni b'xhieda u l-awtentikazzjoni bil-password huma provi separati, u server jista' jitlob it-tnejn mingħajr ma jitlob li jappartjenu lill-istess persuna. Id-distakk huwa reali: xhieda valida tat-tagħmir flimkien ma' kwalunkwe kont validu hija pretensjoni differenti minn dik ix-xhieda tat-tagħmir flimkien ma' kont wieħed imsemmi. Skript li jqabbel common_name ma' username jinqara bħala l-ħolqa nieqsa bejniethom. Ikun hekk, kieku common_name għadu jfisser dak li qalet ix-xhieda.

Jekk hux hekk jiddependi minn għażla waħda tas-server, u dik l-għażla normalment tinxtegħel għal raġuni mhux relatata, bħal li l-fajls tal-konfigurazzjoni għal kull utent ikunu aktar faċli biex jingħataw isem.

X'tagħmel username-as-common-name lill-isem

B'username-as-common-name mixgħula, OpenVPN jissostitwixxi l-isem komuni tax-xhieda bl-isem tal-utent awtentikat ladarba l-isem tal-utent u l-password ikunu ġew verifikati. Il-hook tal-verifika li jaħdem waqt dik il-verifika għadu jirċievi l-isem komuni tax-xhieda, għax is-sostituzzjoni għadha ma seħħitx. Kollox warajha, inkluż client-connect, jara l-isem tal-utent. Għalhekk is-sejħa lura aktar tard tirċievi identità waħda darbtejn u ma tistax tqabbelha max-xhieda li tressqet.

Segwi konnessjoni waħda illustrattiva: xhieda maħruġa għal bob-device, dħul fid-direttorju b'suċċess bħala alice, u l-għażla mixgħula. Il-fażi tal-verifika għadha tista' tara żewġ stringi differenti. Il-fażi tal-konnessjoni tara alice u alice.

Dan l-eżempju juri għaliex il-paragun huwa vojt. Ma jurix li l-konnessjoni kienet tiġi aċċettata mod ieħor, għax il-validazzjoni tax-xhieda u l-verifika tal-password għadhom jaħdmu waħedhom.

Qiegħed ir-rabta fejn iż-żewġ identitajiet għadhom jeżistu

Ir-regola trid tiġi infurzata f'fażi li tara l-identità tax-xhieda u l-kont fl-istess ħin, li fil-prattika jfisser il-hook tal-verifika tal-isem tal-utent u l-password jew plugin mgħobbi hemmhekk. Plugin appoġġjat li diġà jagħmel verifika tal-password normalment huwa l-post it-tajjeb biex tiżdied regola tal-par, għax is-sostituzzjoni tiegħu b'paragun tal-ismijiet tneħħi għal kollox il-verifika tal-password.

Iddefinixxi l-mapping qabel ma tikteb il-kodiċi, għax l-ugwaljanza rari tkun il-politika vera. Xhieda spiss tidentifika tagħmir filwaqt li d-dħul jidentifika persuna, u tagħmir wieħed jista' legalment iservi diversi persuni. Aħżen ir-relazzjoni f'forma li tikkontrolla l-ħruġ tagħha, u iddeċiedi x'jiġri meta l-isem jinbidel, meta terġa' tinħareġ u għal ismijiet ikkwalifikati bid-dominju. It-tnaqqis għal ittri żgħar jew it-tneħħija ta' prefiss tad-dominju mingħajr ma tifhem id-direttorju tista' tgħaqqad żewġ kontijiet li kellhom jibqgħu separati.

Ftakar li l-għażla tbiddel ukoll liema konfigurazzjoni għal kull klijent tapplika, għax client-config-dir hija marbuta mal-isem komuni.

Ittestja l-par b'żewġ kredenzjali validi

Ibda bil-par li l-politika tiegħek tippermetti u kkonferma li jikkonnettja. Imbagħad ippreżenta l-istess xhieda valida ma' kont differenti iżda xorta validu: dak l-attentat irid ifalli, u irid ifalli minħabba r-regola tal-par u mhux minħabba password ittajpjat ħażin. Password ħażina turi li l-verifika tal-password taħdem u ma tgħid xejn dwar ir-regola bejn ix-xhieda u l-kont.

Iċċekkja wkoll il-mogħdijiet tax-xhieda nieqsa u tax-xhieda invalida, u kkonferma liema identità juża s-server għas-settings ta' kull klijent. Jekk l-uniku mod biex il-paragun jaħdem huwa li titfi username-as-common-name, ibbaġitja l-ispiża ta' dik il-bidla l-ewwel, għax din iġġib it-tfittxija tal-konfigurazzjoni ta' kull klijent lura għall-isem tax-xhieda.