OpenConnect یو ټوکن ته کوم PKCS#11 URI ته اړتیا لري؟

هغه سمارټ کارت چې لاهم سمه کیلي لري، باید ورته وویل شي چې پر هغه کوم شی وکارول شي۔ OpenConnect په داسې حالت کې کاپي شوې .key فایل نه غواړي؛ هغه د PKCS#11 URI غوښتنه کوي چې سند نوموي او کله چې اتومات پلټنه کار نشي بشپړولی، څنګ ته پروت خصوصي کیلي هم نوموي۔ ناخوښه برخه دا ده چې له نظري پلوه سم URI هېڅ شی نه ثابتوي۔ دا باید هغه ثبت ونوموي چې دروازه لا پرې باور لري، نه یوازې هغه شی چې کارت یې د پرانیستلو لپاره چمتو دی۔

کارخواه د صادر شوې کیلي پر ځای څه غواړي

-c اختیار معمولاً د فایل لار اخلي، خو کله چې ارزښت د PKCS#11 URI په توګه تحلیل شي، OpenConnect هغه د ډیسک فایل ته نه، بلکې د ټوکن دننه شی ته اشاره ګڼي۔ -k اختیار د خصوصي کیلي لپاره هماغسې چلند کوي۔ هېڅ شی نه صادرېږي او کیلي هېر کله هغه ساتنه نه پرېږدي چې کارت یې برابروي۔ کارخواه له تاسو هغه نوم غواړي چې د ټوکن ماډول، د سندونو زېرمه او د دروازې ثبت ټول پرې سلا وي۔

ډېری هڅې په همدې وروستي محدودیت کې درېږي۔ URI کولای شي بشپړ ښه جوړ شوی وي او بیا هم هغه سند وټاکي چې دروازه به یې رد کړي، ځکه چې اعتبار او اړوندتوب جلا پوښتنې دي۔ د هغې کتنې ارزښت لري چې له ثبت ریکارډ سره پرتله وي، نه د لومړي هغه شي پلټنه چې ناڅاپه پرانیستل شي۔

دوه URI، دوه بېل کارونه

د سند URI ځواب ورکوي چې تاسو کومه هوډۍ ادعا کوئ۔ دا هغه سند شی ته اشاره کوي چې عامه کیلي او د موضوع کرښه یې له هغه حساب یا وسیلې پروفایل سره سمون لري چې VPN مدیر صادر کړی۔ همدا سند معمولاً د څنګ ته زېرمه شوې خصوصي کیلي شي سره راځي، او همدا جوړه ده چې TLS لاس ورکول واقعاً ورته اړتیا لري۔

د کیلي URI ځواب ورکوي چې کله OpenConnect نشي اټکل کولی، سم خصوصي توکی چېرې دی۔ یوازې -c ټاکل شوی وي، کارخواه له سند ځانګړنو څخه کیلي-پلټنه جوړوي؛ -k ورکول اټکل د یوې روښانه شی اشارې سره بدلوي۔ د ټوکن PIN درېیم، ناتړلی انپټ دی: دا د عمل لپاره کارت پرانیزي او هېر کله شی نه پېژني۔

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

په هغه نښو شوې تار کې هر څه ډاټا دي۔ نیمګړې نښې د URI ځانګړنې بېلوي او سلنه-تېښتې هغه توري کوډ کوي چې که نه وي تحلیل ماتوي، نو ټول استدلال باید له شیل څخه روغ ووځي۔

د خپل ثبت سره سمون لرونکي URI موندل

GnuTLS له p11tool سره راځي، چې ښیي اوسنی کارن د p11-kit له لارې واقعاً څه ته رسېدلی شي۔ له p11tool --list-tokens پیل وکړئ، بیا هغه ټوکن چې تاسو ته مهم دی پر هغه د سند شیان ولیکئ۔ کله چې شیان یوازې له PIN وروسته ښکاره شي --login ورزیات کړئ، او د لومړي ښکاره شوي په ټاکلو پر ځای موضوع او صادروونکی له ثبت ریکارډ سره پرتله کړئ۔

که ټوکن اصلاً ونه ښکاره شي، ستونزه د OpenConnect لاندې ده: p11-kit د هغه منځګړي پروګرام لپاره ثبت شوی ماډول نه لري، یا ماډول د بل حساب لپاره ثبت دی۔ سیسټم-پراخه ثبت /etc/pkcs11/modules لاندې دی، او د کارن دپخوا ډایرکټري کولای شي هماغه شی وساتي پرته له دې چې سیسټم کاپي ته لاس ووړي۔ وګورئ چې په ماډول فایل کې د عرضه کوونکي لار هغه کتابخانې ته اشاره کوي چې د لوستونکي سافټویر واقعاً نصب کړې ده۔

کله چې URI له لیست څخه کاپي کوئ، د هغې شاوخوا نښې وساتئ۔ بې نښو نیمګړې نښې استدلال په لومړۍ ځانګړنه کې پرې کوي او کارخواه بیا د هغه شی راپور ورکوي چې نه یې مومي۔

کله چې اتومات کیلي-پلټنه تسلیمېږي

OpenConnect کولای شي له سند URI څخه کیلي-پلټنه ترلاسه کړي، خو هغه دقیق سمون چې کوي یې د نسخې پورې تړلی دی، او د شی ډول او لیبل چلند په اوږدو کې بدل شوی دی۔ هغه مشوره چې وایي URI تر هغه چې کار وکړي لنډه کړئ، یوه زړه لارښوونه بیانوي، نه اړتیا۔ که ترلاسه شوې پلټنه ناکامه شي، کیلي په څرګند ډول د -k سره ونوموئ نه دا چې د سند URI په یو څه مبهم بدل کړئ۔

له دې مخکې چې کارخواه ملامت کړئ، تایید کړئ چې کیلي شته او د p11tool --list-keys سره ښکاري۔ بیا وګورئ چې شی د لاسلیک یا ډیکرېپشن لپاره د کارېدونکي په توګه نښه شوی دی، ځکه چې د غلطو ځانګړنو سره جوړه شوې کیلي لاس ورکول بشپړولی نه شي، هر څومره چې URI سم وي۔ د OpenVPN پروفایل کې سریال شوی pkcs11-id ارزښت د OpenConnect اختیار ته مه لېږدوئ؛ دواړه کارخواهان یوازې د یوه کارت سره د خبرو پر مهال هم بېل پېژندګلو بڼې کاروي۔

که URI حل شي او PIN ومنل شي خو تصدیق بیا هم ناکام شي، د URI تنظیمول ودروئ۔ د دروازې خپله تېروتنه ولولئ، ځکه چې بله ناکامي د ټوکن له پاسه ده۔

هغه ناکامۍ چې یوازې د URI ستونزو په څېر ښکاري

هغه دروازه چې بل پروتوکول وایي، که ستاسو URI سم وي یا غلط، هماغسې ناکامېږي۔ OpenConnect زوړ vpnc کارخواه د یو دلیل لپاره بدل کړ، او د کارت ملاتړ ناسم دروازې پروتوکول سم نه کوي۔ له دې مخکې چې په شی ځانګړنو بله یوه ساعت تېره کړئ، د سرور تمه شوی پروتوکول او د تصدیق ترتیب تایید کړئ۔

د سرور هوډۍ تصدیق هم جلا پرت دی۔ کارخواه د دروازې سند خپل باور زېرمه سره ګوري، او دا کتنه وروسته له هغې چې کارت خپله برخه بشپړه کړې وي ترسره کېږي۔ د لوستونکي اجازې او د pcscd بند شوې خدمت هماغه بېرونې نښه پیدا کوي، نه لوستل کېدونکی ټوکن، خو حل یې ډېر ساده دی۔

له شي څخه بهر خوا ته کار وکړئ: آیا p11tool ټوکن ویني، آیا سند او کیلي ویني، آیا OpenConnect URI مني، او بیا وروسته وپوښتئ چې دروازه هوډۍ مني۔ هر ګام خپله تېروتنه لري، او هر یو له بل څخه ارزانه ازمویل کېږي۔