Fejn imur il-kodiċi tal-isfida statika f’dħul OpenVPN

Il-klijent juri t-tieni kaxxa wara l-qasam tal-password, inti tittajpja l-kodiċi mit-token tal-ħardwer, u d-dħul xorta jinżel bi żball ta’ awtentikazzjoni. Dik il-kaxxa teżisti, allura l-profil talabha. Jekk is-server qatt irċieva l-valur f’forma li jifhem hija kwistjoni oħra, u dik hija l-waħda li jixraq li tiġi mwieġba l-ewwel.

Ibda mit-talba li l-klijent tiegħek fil-fatt juri

Profil jista’ jġorr direttiva ta’ sfida statika bi string ta’ talba u bandiera li tikkontrolla jekk it-tweġiba tiġix murija waqt li tittajpja. It-talba hija dak li tara fid-djalogu; il-bandiera hija preferenza ta’ wiri għall-istess input. L-ebda waħda minnhom ma tgħid lis-server kif jivverifika xi ħaġa.

Għodd l-oqsma li fil-fatt ingħatawlek. Qasam wieħed għal isem tal-utent flimkien ma’ qasam maskrat huwa dħul normali bil-password mingħajr ebda sfida. It-tieni qasam li jidher wara l-password, bit-tikketta tiegħu stess, huwa l-klijent li qed jimplimenta l-interazzjoni tal-isfida.

Jekk it-tieni kaxxa qatt ma tidher fil-klijent li qed tuża, dak il-klijent jista’ ma jimplimentax l-interazzjoni, jew jimplimentaha biss permezz ta’ front end ieħor bħal interface tal-immaniġġjar. Li tivverifika l-klijent huwa irħas milli terġa’ tikteb il-profil, u normalment hemmhekk tkun fil-fatt id-diskrepanza.

X’għandu jkun diġà jappoġġa s-server

Il-profil jiddeskrivi x’għandu jiġbor il-klijent. Ma jxettilx il-verifika fuq is-server, u server mingħajr l-integrazzjoni ta’ awtentikazzjoni korrispondenti sempliċement jirċievi password li ma jafx biha. Huwa għalhekk li xi skjeramenti juru t-talba u jirrifjutaw kull kodiċi, u huwa għalhekk li t-tweġiba tal-operatur dwar liema mekkaniżmu jagħmel il-verifika hija dik it-tweġiba li tagħmel differenza.

Staqsi lill-operatur liema mekkaniżmu jagħmel il-verifika. Jista’ jkun plugin li jkellem lil PAM, hook ta’ skript li jivvalida t-tweġiba ma’ servizz ta’ tokens, jew integrazzjoni bbażata fuq l-immaniġġjar li tanalizza hija stess il-valur ippakjat. Kull wieħed minnhom jistenna input ftit differenti.

Hawnhekk l-aspettattivi wkoll jeħtieġu kalibrazzjoni. It-tieni talba hija mekkaniżmu ta’ input, mhux prova li qed jiġi infurzat it-tieni fattur, għax l-infurzar iseħħ fuq in-naħa tas-server u jidher biss meta tittestja kodiċi żbaljat.

Il-qasam kodifikat li jibgħat l-interface tal-immaniġġjar

Meta front end iħaddem il-konnessjoni permezz tal-interface tal-immaniġġjar, il-password u t-tweġiba tal-isfida jiġu ppakkjati f’valur wieħed qabel ma jintbagħtu. Ir-referenza tal-interface tal-immaniġġjar tiddokumenta l-format: prefiss, imbagħad il-password u t-tweġiba bħala komponenti Base64 separati.

Base64 hija kodifikazzjoni, mhux protezzjoni. Ma taħbi xejn minn min jista’ jaqra l-qasam, u ma ddawwarx kodiċi ta’ darba f’xi ħaġa li tista’ terġa’ tintuża. Il-valur ippakjat jistħoqqlu l-istess trattament bħall-password: barra mill-profili maqsuma, barra mill-linji tal-kmand u barra mil-logs ta’ dijanjosi.

Dik il-kodifikazzjoni hija wkoll l-aktar sors komuni ta’ konfużjoni, għax issa hemm tliet forom li jidhru simili u mhumiex interkambjabbli. Fajl ta’ kredenzjali sempliċi jżomm password. Konkatenazzjoni litterali tal-password u l-kodiċi żżomm string differenti. Tweġiba ppakkjata ta’ klijent tal-immaniġġjar iżżomm it-tielet waħda. Ikkonferma liema waħda tistenna t-triq tal-verifika tiegħek qabel ma tbiddel qasam biss għax żball sparixxa.

Statika kontra dinamika: ħin differenti

Isfida statika hija magħrufa qabel ma tiġi sottomessa l-ewwel kredenzjali, allura l-klijent jista’ jitlobha bil-quddiem. Isfida dinamika tasal aktar tard, mibgħuta mill-fluss ta’ awtentikazzjoni wara li skambju jkun diġà beda, u teħtieġ klijent li jista’ jimmaniġġja talba f’nofs il-konversazzjoni.

L-appoġġ għal waħda ma jagħtik l-oħra. Direttiva tal-profil li tikkonfigura talba statika ma timplimentax sfida mibdija mis-server, u front end li jimmaniġġja talbiet dinamiċi jista’ xorta ma jurix waħda statika. Li taqra liema naħa bdiet it-talba huwa l-aktar mod mgħaġġel biex tiddistingwihom.

It-tħaddim bla sorveljanza huwa l-punt fejn dan isir kwistjoni ta’ disinn u mhux kwistjoni ta’ interface. Kodiċi salvat mhuwiex kredenzjali dejjiema tal-boot, u rikonnessjoni sigħat wara teħtieġ input ġdid sakemm l-iskjerament ma jappoġġax arranġament ta’ tokens li l-operatur ikun ixgħel b’mod deliberat.

Ittestja kemm is-suċċess kif ukoll il-falliment, mhux biss id-djalogu

Mexxi ż-żewġ nofsijiet tat-test. Kredenzjali korretti bi tweġiba valida għandhom jirnexxu; kredenzjali korretti bi tweġiba deliberatament żbaljata għandhom jiġu miċħuda. Jekk it-tnejn jirnexxu, il-klijent qed jiġbor input li xejn ma jivverifika, u d-djalogu tqies bħala kontroll. Dak it-test wieħed jaqbad aktar skjeramenti minn kull kemm tkun reviżjoni tal-profil.

Imbagħad erġa’ agħmel il-konnessjoni wara rikonnessjoni, b’kont li mhuwiex irreġistrat, u permezz ta’ kwalunkwe klijent li l-utenti tiegħek fil-fatt jużaw. Li tidher it-talba hija mġiba tal-klijent; li jiġi miċħud kodiċi żbaljat huwa s-server li qed jinfurza xi ħaġa.