Għaliex OpenVPN għadu jitlob fajl ta’ ċavetta privata meta jkun hemm token

Tdaħħal it-token, l-għodda tal-fornitur stess tarah, u l-klijent VPN xorta jitlob fajl ta’ ċavetta privata. Dik it-talba mhijiex prova li t-token mhuwiex appoġġjat. Normalment tfisser li l-profil qatt ma qal lill-klijent biex juża t-token, għalhekk reġa’ lura għall-inputs taċ-ċertifikat u taċ-ċavetta li jistenna b’mod awtomatiku.

Żewġ valuri separati għandhom ikunu korretti qabel ma dan ir-ritorn jieqaf: il-fornitur li jesponi t-token, u l-identità taċ-ċertifikat ġewwa fih. Dawn jiġu fornuti b’għażliet differenti u huwa faċli li jitħawdu.

Il-klijent jitlob fajl għax il-profil jgħid hekk

Profil awtomatiku jistenna fajl taċ-ċertifikat u fajl taċ-ċavetta privata, jew pakkett wieħed PKCS#12. Meta dawn l-inputs ma jkunux hemm, il-klijent m’għandu xejn x’jillowdja u jġib ruħu kważi bħal meta jkun nieqes fajl, u għalhekk is-sintomu jinqara bħala mogħdija miksura u mhux bħala mekkaniżmu nieqes. Il-mogħdija PKCS#11 tissostitwixxi dawn l-inputs minflok ma tkomplihom, għalhekk profil li għadu jsemmi fajl taċ-ċavetta se jkompli juża l-fajl. Neħħi l-inputs tal-fajls apposta u ħalli t-token jipprovdi ż-żewġ nofsijiet.

L-għażla tal-fornitur issemmi librerija tal-middleware, mhux apparat u mhux ċertifikat. Jekk klijent ippakkjat jistax jillowdja dik il-librerija jiddependi minn kif inbena, inkluż appoġġ fakultattiv għal p11-kit li xi builds jixegħlu u oħrajn iħallu barra. Tutorja ġenerali ma tistax tgħidlek liema arranġament għandu l-pakkett tiegħek.

L-identità serializzata hija valur differenti

L-identità taċ-ċertifikat hija sensiela serializzata twila li tipproduċi l-proċess ta’ skoperta, u mhijiex il-mogħdija tal-librerija, lanqas il-PIN tat-token, lanqas l-isem tal-kont VPN. Spiss fiha karattri li jeħtieġu virgoletti, u valur mingħajr virgoletti jista’ jiġi maqtugħ jew jinqara ħażin mingħajr żball ċar. Uża l-għażla skoperta tal-identità tal-klijent stess biex telenka dak li jesponi t-token, imbagħad ikkopja eżattament l-entrata li trid. Li tagħżel l-ewwel oġġett fil-lista huwa l-mod kif apparat fl-aħħar jippreżenta ċ-ċertifikat ħażin.

Il-ħruġ tal-iskoperta jwieġeb ukoll mistoqsija preċedenti: jekk it-token huwiex viżibbli xejn permezz ta’ dak il-fornitur. Jekk ma jelenkax xejn, il-problema tinsab fuq il-klijent VPN u tappartjeni lill-middleware.

Il-proċess li jgħaqqad irid jilħaq it-token

Operazzjoni tat-token li taħdem fis-sessjoni tad-desktop tiegħek ma tipprova xejn dwar servizz tas-sistema. Is-servizz jista’ jmur bħala utent ieħor, fi spazju tal-ismijiet tal-mount differenti, b’mogħdija tal-moduli li tħalli barra l-librerija tal-fornitur, jew mingħajr permess biex jiftaħ in-nodu tal-apparat. Identifika liema proċess fil-fatt iżomm il-konnessjoni u ttestja minn dak il-kuntest.

L-immaniġġjar tal-PIN jistħoqqlu deċiżjoni tiegħu. L-implimentazzjoni ta’ referenza toffri cache tal-PIN u mogħdija tal-awtentikazzjoni protetta, u t-tnejn jeżistu sabiex operatur jista’ jagħżel fluss tax-xogħol minflok ma joħroġ wieħed. Tbiddilx rekwiżit mingħajr superviżjoni fi PIN f’test sempliċi ġewwa profil kondiviż, għax dan ibiddel il-protezzjoni tat-token ma’ kumdità. Fejn it-token jipprojbixxi l-esportazzjoni taċ-ċavetta, l-iffirmar isir fuq l-apparat u l-PIN huwa l-uniku sigriet lokali. Ittrattah bil-kura li dan jimplika.

X’ma jissostitwixxix it-token

It-token jawtentika lill-klijent taħt il-politika implimentata, u ma jissostitwixxix il-kontrolli tal-klijent fuq is-server. Ċertifikat magħżul b’suċċess mhuwiex permess li jiġi aċċettat ċertifikat tal-bieb mhux mistenni, u ż-żewġ verifiki jipproteġu direzzjonijiet opposti.

Ir-reġistrazzjoni xorta trid issir għand l-emittent, u l-bieb xorta jrid jawtorizza l-identità.

Għall-aċċettazzjoni, issepara l-fażijiet: il-fornitur jillowdja, iċ-ċertifikat maħsub jinstab, iċ-ċavetta privata tintuża b’awtorizzazzjoni lokali, il-VPN jawtentika, u l-operazzjoni fuq ir-riżors tirnexxi. Waqqaf fl-ewwel fażi li tfalli minflok iddur mal-passwords u terġa’ tinstalla l-munzell kriptografiku.

Irreġistra l-verżjonijiet, is-sjieda tal-moduli, l-identifikatur pubbliku magħżul u l-iżbalji mnaddfa, u ħalli l-PINs u l-pakketti tal-kredenzjali barra minn dik ir-reġistrazzjoni.