Waarom OpenVPN met een token nog steeds om een privésleutelbestand vraagt

U steekt het token in, de eigen tool van de leverancier ziet het, en de VPN-client vraagt nog steeds om een privésleutelbestand. Die vraag is geen bewijs dat het token niet wordt ondersteund. Meestal betekent het dat het profiel de client nooit heeft verteld het token te gebruiken, waardoor hij terugviel op de certificaat- en sleutelinvoer die hij standaard verwacht.

Twee afzonderlijke waarden moeten kloppen voordat die terugval stopt: de leverancier die het token beschikbaar stelt, en de identiteit van het certificaat erin. Ze worden via verschillende opties opgegeven en zijn makkelijk te verwarren.

De client vraagt om een bestand omdat het profiel dat zegt

Een standaardprofiel verwacht een certificaatbestand en een privésleutelbestand, of één PKCS#12-bundel. Als die invoer ontbreekt, heeft de client niets te laden en gedraagt hij zich bijna als bij een ontbrekend bestand, waardoor het symptoom als een kapot pad wordt gelezen en niet als een ontbrekend mechanisme. Het PKCS#11-pad vervangt die invoer in plaats van haar aan te vullen, dus een profiel dat nog een sleutelbestand noemt, blijft het bestand gebruiken. Verwijder de bestandsinvoer bewust en laat het token beide helften leveren.

De leveranciersoptie noemt een middleware-bibliotheek, geen apparaat en geen certificaat. Of een verpakte client die bibliotheek kan laden, hangt af van hoe hij is gebouwd, inclusief optionele p11-kit-ondersteuning die sommige builds aanzetten en andere weglaten. Een algemene handleiding kan u niet vertellen welke opzet uw pakket heeft.

De geserialiseerde identiteit is een andere waarde

De certificaatidentiteit is een lange geserialiseerde tekenreeks die het ontdekkingsproces produceert, en het is niet het bibliotheekpad, niet de PIN van het token en niet de naam van het VPN-account. Ze bevat vaak tekens die tussen aanhalingstekens moeten, en een waarde zonder aanhalingstekens kan worden afgekapt of verkeerd gelezen zonder duidelijke fout. Gebruik de eigen optie identiteitsontdekking van de client om te tonen wat het token blootlegt, en kopieer daarna de bedoelde vermelding exact. Het eerste object in de lijst kiezen is hoe een apparaat uiteindelijk het verkeerde certificaat presenteert.

De uitvoer van de ontdekking beantwoordt ook een eerdere vraag: of het token überhaupt via die leverancier zichtbaar is. Als er niets wordt vermeld, zit het probleem boven de VPN-client en hoort het bij de middleware.

Het proces dat verbinding maakt, moet het token kunnen bereiken

Een tokenbewerking die in uw bureaubladsessie werkt, bewijst niets over een systeemdienst. De dienst kan als een andere gebruiker draaien, in een andere mount-naamruimte, met een modulepad dat de bibliotheek van de leverancier weglaat, of zonder toestemming om het apparaatknooppunt te openen. Stel vast welk proces de verbinding werkelijk vasthoudt en test vanuit die context.

PIN-afhandeling verdient een eigen beslissing. De referentie-implementatie biedt een PIN-cache en een beschermd authenticatiepad, en beide bestaan zodat een operator een werkstroom kan kiezen in plaats van er een te bedenken. Zet een onbeheerde eis niet om in een PIN in platte tekst binnen een gedeeld profiel, want dat ruilt de bescherming van het token voor gemak. Waar het token sleutelexport verbiedt, gebeurt de ondertekening op het apparaat en is de PIN het enige lokale geheim. Behandel die met de zorg die dat impliceert.

Wat het token niet vervangt

Het token authenticeert de client onder het uitgerolde beleid, en het vervangt niet de controles van de client op de server. Een met succes gekozen certificaat is geen toestemming om een onverwacht gatewaycertificaat te accepteren, en de twee verificaties beschermen tegengestelde richtingen.

Inschrijving moet nog steeds bij de uitgever gebeuren, en de gateway moet de identiteit nog steeds autoriseren.

Scheid voor acceptatie de fasen: de leverancier laadt, het bedoelde certificaat wordt gevonden, de privésleutel wordt met lokale autorisatie gebruikt, de VPN authenticeert en de resourcebewerking slaagt. Stop bij de eerste fase die mislukt in plaats van door wachtwoorden te fietsen en de cryptostack opnieuw te installeren.

Leg versies, module-eigendom, de gekozen openbare identificatie en opgeschoonde fouten vast, en houd PIN's en inloggegevensbundels buiten dat overzicht.