Iċ-ċertifikat tal-VPN ma jipproteġix il-parti LDAP

Dħul fil-VPN li jivverifika l-kredenzjali ma’ direttorju jinvolvi żewġ konnessjonijiet tan-netwerk separati. Il-konnessjoni tal-utent mal-gateway hija protetta miċ-ċertifikat tal-VPN stess u mill-konfigurazzjoni tal-protokoll. Il-konnessjoni tal-gateway mad-direttorju hija sessjoni oħra bl-issettjar TLS tagħha, bl-aħżen tal-fiduċja tagħha u bil-modi ta’ falliment tagħha. Xejn fl-ewwel ma jiggarantixxi xejn fit-tieni.

Dik l-asimetrija hija l-mekkaniżmu wara dħul li jidher ifferat u xorta jibgħat password tal-bind fil-beraħ.

Żewġ konnessjonijiet, żewġ deċiżjonijiet ta’ fiduċja

Is-sessjoni ta’ barra hija dak li jara l-utent: ċertifikat marbut mal-isem tal-host tal-VPN, ivvalidat mill-klijent, li jġorr l-iskambju tal-awtentikazzjoni. Is-sessjoni ta’ ġewwa tappartjeni lill-klijent tad-direttorju ġewwa l-gateway, li jiftaħ il-konnessjoni tiegħu u jew jinnegozja TLS jew le. Kull naħa tivvalida lill-ieħor li tkellem miegħu, bl-użu ta’ materjal minn fajl ta’ konfigurazzjoni differenti. Parti ta’ ġewwa konfigurata ħażin tibqa’ inviżibbli min-naħa tal-utent, għax il-parti ta’ barra taħdem eżatt kif maħsuba.

Huwa għalhekk li l-falliment huwa sieket u mhux storbjuż. Gateway li qatt ma jivverifika ċ-ċertifikat tad-direttorju xorta jawtentika lill-utenti b’mod korrett; sempliċement jawtentikahom fuq kanal li ma vverifikax.

StartTLS u LDAPS, magħżula b’mod deliberat

StartTLS jiftaħ bħala LDAP sempliċi u jiġi aġġornat fil-post, b’mod konvenzjonali fuq il-port 389. LDAPS jibda TLS mal-konnessjoni, b’mod konvenzjonali fuq 636. It-tnejn huma leġittimi u l-adapter irid jaqbel ma’ dak li joffri d-direttorju. Li titlob StartTLS huwa differenti milli tipprovah u tkompli meta l-aġġornament ifalli, u huwa eżatt f’dik id-differenza li password tal-bind tista’ taħrab. Ikkonfigura l-mod strett, u tħallix triq ta’ rikors mhux protetta għal bind bil-password.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

L-għażla -ZZ hija l-punt kollu: il-query tfalli minflok tkompli bil-kwiet mingħajr l-aġġornament. L-ismijiet u l-kontijiet f’dik il-linja huma eżempji. Id-dokumentazzjoni TLS ta’ OpenLDAP tkopri l-issettjar tal-fiduċja wara dan.

Liema aħżen tal-fiduċja jaqra l-klijent LDAP?

Il-librerija tal-klijent OpenLDAP taqra l-konfigurazzjoni tal-fiduċja tagħha stess, kemm mill-fajl tas-sistema kif ukoll minn settjar speċifiku għall-plugin. Id-direttiva CA tal-VPN tapplika għall-pari tal-VPN u mhix prova li l-librerija LDAP taqra l-istess fajl. Uża l-isem tal-host tad-direttorju li ċ-ċertifikat fil-fatt ikopri, flimkien mal-katina tal-ħruġ li l-librerija tafda. F’Active Directory, implimenta ċertifikat tas-servizz tad-direttorju bl-użu korrett tal-awtentikazzjoni tas-server minflok ma tislet mill-isem tal-wiri.

Kull destinazzjoni tal-failover trid tissodisfa l-istess politika tal-identità. Ambjent fejn dak primarju huwa vvalidat u dak sekondarju mhuwiex huwa agħar minn wieħed mingħajr failover, għax it-triq l-aktar dgħajfa tinstab biss waqt waqfa.

Il-kont tal-bind jibqa’ problema separata

Il-protezzjoni tat-trasport ma tnaqqasx dak li l-kont tal-bind jista’ jagħmel. L-ambitu tat-tiftix fid-direttorju, l-awtorizzazzjoni tal-gruppi u l-privileġġi tal-kont tas-servizz huma deċiżjonijiet separati, u kont tal-bind wiesa’ jibqa’ wiesa’ wara li TLS jiġi attivat. Uża l-aktar kont tas-servizz u bażi tat-tiftix dejqa li l-integrazzjoni teħtieġ, u rreġistra l-endpoint, il-mod TLS, is-sid tal-fiduċja u l-proċess tat-tiġdid mal-konfigurazzjoni tal-VPN.

Meta tidher nuqqas ta’ qbil fiċ-ċertifikat, implimenta ċ-ċertifikat jew il-katina t-tajbin. L-iżattivar tal-verifika jbiddel nuqqas ta’ qbil viżibbli f’wieħed inviżibbli u jħalli t-tieni relazzjoni ta’ fiduċja mhux ittestjata.

Żewġ konnessjonijiet, żewġ sidien, żewġ dati ta’ tiġdid. Li żżommhom separati fid-dokumentazzjoni huwa dak li jżomm id-dħul onest.