Liema PKCS#11 URI għandu bżonn OpenConnect għal token?

Karta intelliġenti li diġà għandha ċ-ċavetta t-tajba xorta trid tiġi mgħarrfa liema oġġett fuqha għandu jintuża. OpenConnect f’dik is-sitwazzjoni ma jridx fajl .key ikkupjat; irid PKCS#11 URI li jsemmi ċ-ċertifikat u, meta t-tiftixa awtomatika ma tistax tlesti x-xogħol, iċ-ċavetta privata ħdejh. Il-parti skomda hi li URI validu sintattikament ma jipprova xejn. Trid issemmi r-reġistrazzjoni li l-gateway diġà jafda, mhux biss oġġett li l-karta hija lesta tiftaħ.

X’irid il-klijent minflok ċavetta esportata

L-għażla -c normalment tieħu passaġġ ta’ fajl, imma meta l-valur jiġi pparsat bħala PKCS#11 URI, OpenConnect jittrattah bħala referenza għal oġġett ġewwa t-token u mhux għal fajl fuq id-diska. L-għażla -k iġġib ruħha bl-istess mod għaċ-ċavetta privata. Xejn ma jiġi esportat, u ċ-ċavetta qatt ma tħalli l-protezzjoni li tagħti l-karta. Dak li l-klijent jeħtieġ mingħandek huwa isem li l-modulu tat-token, il-maħżen taċ-ċertifikati u r-reġistrazzjoni tal-gateway jaqblu fuqu.

Fuq dan l-aħħar restrizzjoni jieqfu ħafna mill-attentati. URI jista’ jkun ifformulat tajjeb ħafna u xorta jagħżel ċertifikat li l-gateway se jirrifjuta, għax validità u rilevanza huma mistoqsijiet separati. Il-verifika li tiswa hija paragun mar-rekord tar-reġistrazzjoni, mhux tfittxija għall-ewwel oġġett li jinfetaħ b’kumbinazzjoni.

Żewġ URI, żewġ xogħlijiet differenti

L-URI taċ-ċertifikat iwieġeb liema identità qed tippretendi. Huwa jindika oġġett taċ-ċertifikat li ċ-ċavetta pubblika u l-linja tas-suġġett tiegħu jaqblu mal-profil tal-kont jew tal-apparat li ħareġ l-amministratur tal-VPN. L-istess ċertifikat normalment jiġi ma’ oġġett taċ-ċavetta privata maħżun ħdejh, u dak il-par huwa dak li l-handshake TLS tassew jeħtieġ.

L-URI taċ-ċavetta iwieġeb fejn tgħix il-materja privata li taqbel meta OpenConnect ma jistax jiddeduċiha. Biss -c stabbilit, il-klijent jibni tfittxija taċ-ċavetta mill-proprjetajiet taċ-ċertifikat; li tagħti -k tissostitwixxi l-istima b’referenza espliċita għal oġġett. Il-PIN tat-token huwa t-tielet input, mhux marbut: jiftaħ il-karta għall-operazzjoni, u qatt ma jidentifika oġġett.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Kull ma hemm f’dik is-sekwenza bejn virgoletti huwa data. Il-punti u virgoli jifirdu l-attributi tal-URI u l-ħruġ bil-persentaġġ jikkodifika karattri li xortinkella jkissru l-parsing, għalhekk l-argument kollu jrid jgħaddi mill-qoxra sħiħ.

Is-sib l-URI li jaqbel mar-reġistrazzjoni tiegħek

GnuTLS jiġi ma’ p11tool, li jelenka x’jista’ tabilħaqq jilħaq l-utent preżenti permezz ta’ p11-kit. Ibda b’p11tool --list-tokens, imbagħad elenka l-oġġetti taċ-ċertifikat fuq it-token li jinteressak. Żid --login meta l-oġġetti jidhru biss wara PIN, u qabbel is-suġġett u l-emittent mar-rekord tar-reġistrazzjoni minflok tagħżel dak li jidher l-ewwel.

Jekk it-token ma jidhirx affattu, il-problema tinsab taħt OpenConnect: p11-kit m’għandux modulu rreġistrat għal dak il-middleware, jew il-modulu huwa rreġistrat għal kont ieħor. Ir-reġistrazzjoni madwar is-sistema tinsab taħt /etc/pkcs11/modules, u direttorju għal kull utent jista’ jżomm l-istess ħaġa mingħajr ma jmiss il-kopja tas-sistema. Iċċekkja li l-passaġġ tal-fornitur fil-fajl tal-modulu jindika librerija li s-software tal-qarrej tassew installa.

Meta tikkopja l-URI mil-lista, żomm il-virgoletti madwaru. Punti u virgoli mingħajr virgoletti jaqtgħu l-argument fl-ewwel attribut u l-klijent imbagħad jirrapporta oġġett li ma jsibx.

Meta t-tiftixa awtomatika taċ-ċavetta tieqaf

OpenConnect jista’ jiddeduċi tfittxija taċ-ċavetta mill-URI taċ-ċertifikat, imma l-paragun eżatt li jagħmel jiddependi mill-verżjoni, u t-trattament tat-tip tal-oġġett u tat-tikketta nbidel maż-żmien. Il-parir li tqassar l-URI sakemm jaħdem jiddeskrivi soluzzjoni antika, mhux rekwiżit. Jekk it-tiftixa dedotta tfalli, semmi ċ-ċavetta b’mod espliċitu bl-għażla -k minflok tibdel l-URI taċ-ċertifikat f’xi ħaġa anqas preċiża.

Ivverifika li ċ-ċavetta teżisti u tidher b’p11tool --list-keys qabel ma tagħti l-ħtija lill-klijent. Imbagħad iċċekkja li l-oġġett huwa mmarkat bħala użabbli għall-firma jew għad-deċifrar, għax ċavetta ġġenerata b’attributi ħżiena ma tistax tlesti handshake, kemm hi korretta l-URI. Tittrasplantax valur pkcs11-id serializzat minn profil OpenVPN għal għażla OpenConnect; iż-żewġ klijenti jużaw formati ta’ identifikatur differenti anke meta jitkellmu mal-istess karta.

Jekk l-URI jiġi riżolt u l-PIN jiġi aċċettat imma l-awtentikazzjoni xorta tfalli, waqaf milli tqassar l-URI. Aqra l-iżball tal-gateway stess, għax il-falliment li jmiss jinsab fuq it-token.

Fallimenti li jidhru biss bħala problemi tal-URI

Gateway li jitkellem protokoll ieħor se jfalli bl-istess mod kemm jekk l-URI tiegħek huwa korrett u kemm jekk le. OpenConnect issostitwixxa l-klijent vpnc antik għal raġuni, u l-appoġġ tal-karti ma jagħmilx protokoll tal-gateway inkompatibbli kompatibbli. Ivverifika l-protokoll mistenni tas-server u l-arranġament tal-awtentikazzjoni qabel ma tqatta’ siegħa oħra fuq l-attributi tal-oġġett.

Il-validazzjoni tal-identità tas-server hija wkoll saff separat. Il-klijent jivverifika ċ-ċertifikat tal-gateway mal-maħżen tal-fiduċja tiegħu, u dik il-verifika ssir wara li l-karta tkun diġà għamlet il-parti tagħha. Il-permessi tal-qarrej u servizz pcscd waqaf jipproduċu l-istess sintomu estern, token li ma jinqarax, bi tlestija ħafna aktar sempliċi.

Aħdem mill-oġġett lejn barra: p11tool jara t-token, jara ċ-ċertifikat u ċ-ċavetta, OpenConnect jaċċetta l-URI, u biss imbagħad staqsi jekk il-gateway jaċċettax l-identità. Kull pass għandu l-messaġġ tal-iżball tiegħu, u kull wieħed huwa orħos biex tiġi ttestjata mill-ieħor li jmiss.