Prvo EAP metoda: koji hash lozinke VPN može koristiti
VPN provjerava tajnu, a ne web hash. Pročitajte metodu, pa provjerite što pohranjuje spremište prije nego obećate da će iste lozinke nastaviti raditi.
Mnogi timovi imaju web prijavu koja radi i VPN koji odbija svaku lozinku iz iste tablice. Web aplikacija uspoređuje hash koji je sama izračunala, dok tunel traži od klijenta da dokaže posjedovanje tajne na način koji poslužitelj mora moći provjeriti. To su različiti zahtjevi na pohranjeni materijal. Upravo u jazu između njih većina ovakvih projekata zapne.
Pročitajte metodu, pa shemu
Zapišite koji dokaz odabrana metoda zahtijeva prije nego pogledate bilo koju shemu. Metoda izazov-odgovor treba materijal iz kojeg poslužitelj može izračunati očekivani odgovor, što u praksi znači lozinku ili kompatibilan izvedeni oblik. Metoda koja nosi lozinku unutar zaštićenog tunela treba samu lozinku kod provjeravatelja. Čitajte dokumentaciju metode zbog zahtjeva provjeravatelja, a ne zbog konfiguracije klijenta, jer su klijentski zahtjevi obično lakši dio.
Posoljeni hash koji proizvede moderan web okvir ne daje ni jedno ni drugo. Provjerava jednu određenu usporedbu i ne može se vratiti u tajnu iz koje je nastao.
Izazov-odgovor ne može koristiti posoljeni hash
MSCHAPv2 je razmjena izazov-odgovor, pa poslužitelj nikada ne primi lozinku i ne može usporediti pohranjeni niz. Mora izvesti očekivani odgovor iz materijala koji već ima, i zato su kompatibilni pohranjeni oblici tako uski. Vrijednost bcrypt ili Argon2 sa soli po korisniku jednosmjerna je na način koji razmjenu posve isključuje. Tablica ispod polazi od oblika pohrane, a ne od naziva metode, jer oblik pohrane odlučuje o odgovoru.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Dokumentacija SQL dodatka za strongSwan definira vlastitu shemu za konfiguraciju i vjerodajnice, a projekt taj dodatak još označava eksperimentalnim. Ništa se u njoj ne prilagođava tablici korisnika neke aplikacije niti pogađa koja je shema raspršivanja proizvela pohranjenu vrijednost. Stvarne su mogućnosti zato migracija na spremište koje mrežni prolaz može koristiti ili usluga autentifikacije ispred postojećeg spremišta koja može obaviti razmjenu. Sve drugo je konektor sa skrivenom pretpostavkom u sebi.
RADIUS premješta posao, ne zahtjev
Delegiranje EAP-a RADIUS poslužitelju mijenja mjesto provjere i obično poboljšava revizijski trag. Ne vraća lozinku iz jednosmjernog hasha, pa usluga autentifikacije i dalje treba materijal kompatibilan s metodom koju završava. Timovi to otkriju nakon što izgrade RADIUS put i na drugoj strani naiđu na isti zid.
Tamo gdje RADIUS poslužitelj može čitati imenik s kompatibilnim vjerodajnicama, dizajn radi, a VPN prolaz ostaje jednostavan. Tamo gdje ne može, iskren je odgovor promjena upisa, a ne još jedan konektor. Dodjela i opoziv pripadaju onome tko posjeduje identitet, pa je kopirana tablica bez podržanog procesa sinkronizacije drugi životni ciklus vjerodajnica, a ne jedinstvena prijava. Ona se prvi put razilazi kada netko resetira lozinku samo na jednom mjestu, a razilaženje je tiho dok se račun koji postoji u oba sustava ne počne ponašati različito u svakome.
Ograničite račun koji čita imenik na to čitanje i držite ga odvojenim od računa koji prolaz koristi za vlastitu konfiguraciju. Zajednički administrativni račun pretvara dizajn samo za čitanje u mnogo širi radijus štete.
Gdje račun treba živjeti
Kada je pitanje materijala riješeno, ostaju dvije arhitekture. Prolaz može imati malo spremište vjerodajnica koje samo on čita, ili može delegirati usluzi autentifikacije koja stoji ispred korporativnog imenika.
Prva je lakša za promišljanje i gora za korisnika, koji na kraju ima drugu lozinku za održavanje. Druga čuva jedan identitet i dodaje ovisnost o usluzi koja sada mora biti dostupna prije nego se itko može povezati. Nijedna nije pogrešna, ali izbor treba zapisati uz konfiguraciju prolaza, jer će sljedeći inženjer inače pretpostaviti da je odabrana druga. Što god odabrali, dvije naredbe ispod pokazuju trenutačno stanje prije nego ga promijenite.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsAutentifikacija računa također ne rješava autorizaciju. Članstvo u grupi, stanje uređaja i mrežno dopuštenje i dalje trebaju izričito mapiranje nakon što korisnik dokaže traženi identitet. Veza koja se besprijekorno autentificira i ništa ne autorizira rezultat je politike, a ne greška u metodi.