OpenConnect ලොගින් කුකියක් උමඟක් බවට පත් කරන්නේ කෙසේද?

OpenConnect වෙබ් ලොගින් සහ VPN උමඟ යන වෙන වෙනම හුවමාරු දෙකක් එක් කෙටි කාලීන අගයකින් බැඳ තබයි. පළමු හුවමාරුව සාමාන්‍ය HTTPS ය: ප්‍රවේශපත්‍ර, SAML ගමනක් හෝ ටෝකනයක් ගේට්වේ වෙත යයි, පිළිතුර සත්‍යාපන කුකියක් රැගෙන එයි. දෙවන හුවමාරුව එම කුකිය එම ගේට්වේ වෙත වෙබ් අදියර දැනටමත් සිදු වී ඇති බවට සාක්ෂියක් ලෙස ඉදිරිපත් කරයි, එවිට පමණක් උමඟ ඉහළ එයි.

ලොගින් වීමේදී උමඟ ගැන කිසිවක් සාකච්ඡා නොවේ. මෙයයි තේරුම් ගත යුතු කොටස, මන්ද බොහෝ ස්ක්‍රිප්ට් දෝෂ කුකිය සුරැකිය යුතු මුරපදයක් හෝ ගමනාගමනය ආරක්ෂා කරන යතුරක් ලෙස සිතයි, නමුත් ඇත්ත වශයෙන් එය නිශ්චිත ගේට්වේ සැසියක් සඳහා වාහක ටිකට්පතක් ය.

සේවාදායකයා සහ ගේට්වේ පිළිවෙලින් හුවමාරු කරන දේ

සත්‍යාපන අදියර සාමාන්‍ය ආරක්ෂිත වෙබ් අඩවියක් මෙන් පෙනේ. OpenConnect පරිශීලකයාගේ ප්‍රවේශපත්‍ර යවයි, නැතහොත් ගේට්වේයේ යළි-යොමුව අනුගමනය කරමින් අනන්‍යතා සැපයුම්කරු වෙත යයි, ගේට්වේ සත්‍යාපන කුකිය ඇතුළත් ලේඛනයක් සමඟින් පිළිතුරු දෙයි. AnyConnect ප්‍රොටෝකෝලයේ එම අගය ඊළඟ ඉල්ලීම්වල කුකි ශීර්ෂකයක ගමන් කරයි, සාමාන්‍යයෙන් webvpn වැනි නමකින්, සහ අත්පොත එය සැසිය ඉදිරියට ගෙන යන ප්‍රවේශපත්‍රය ලෙස සලකයි.

දෙවන අදියර ගේට්වේයේ VPN අවසන් ලක්ෂ්‍යයට එම කුකිය සම්බන්ධ කර යවන CONNECT ඉල්ලීමකි. ගේට්වේ එය පරීක්ෂා කර ලිපිනයක් පවරයි, සේවාදායකයා TLS මත CSTP ආරම්භ කරයි, සැසිය පවතින විට DTLS විකල්පීය වේගවත් දත්ත මාර්ගයක් වේ. උමඟේ පරාමිතීන්, මාර්ග, DNS සැකසුම් සහ සැසියේ ගමනාගමන යතුරු ස්ථාපිත වන්නේ මෙම අවස්ථාවේදී පමණි. කුකිය සේවාදායකයා දොරෙන් ඇතුළට ගෙන ගියේය; එය කිසිවක් සංකේතනය නොකළේය.

මෙම අනුපිළිවෙල openconnect --authenticate පවතින්නේ මන්දැයි පැහැදිලි කරයි. එය ධාවනය කරන්න, එය වෙබ් අදියර සිදු කර, COOKIE, HOST, CONNECT_URL සහ FINGERPRINT වැනි ෂෙල් විචල්‍යවල කුඩා කොටසක් මුද්‍රණය කර, උමඟක් ගොඩනැගීමට පෙර පිටව යයි. ඉන්පසු රැපර් ස්ක්‍රිප්ටයකට එම අගයන් සමඟ සැබෑ සම්බන්ධතාව ආරම්භ කළ හැක, සහ හෙඩ්ලස් හෝ ද්වි-කන්ටේනර් යෙදවීමට අවශ්‍ය වන්නේ හරියටම මෙම බෙදීමයි.

කුකිය සැසියේ වාහකයාය, යතුරක් නොවේ

වෙබ් යෙදුමක සැසි හැඳුනුම්පතක් සමඟ කටයුතු කරන ආකාරයටම මෙම අගය සමඟ කටයුතු කරන්න. එහි ජීවිත කාලය තුළ එය ඇති ඕනෑම අයෙකුට ගේට්වේයෙන් එම සැසියට හිමි උමඟ ඉල්ලා සිටිය හැක, එබැවින් එහි රහස්‍යභාවය වැදගත් ය. නමුත් පිටපත් කිරීමෙන් ගමනාගමනය හෙළි නොවේ, මන්ද උමඟේ රහස්‍යභාවය පැමිණෙන්නේ TLS අතට අත දීමෙන් සහ ව්‍යුත්පන්න යතුරුවලින් මිස කුකි තන්තුවෙන් නොවේ.

මෙය ස්ථිර අවසරයක් ද නොවේ. සැසිය කොපමණ කල් ජීවත් වේද යන්න ගේට්වේ සහ අනන්‍යතා සැපයුම්කරු තීරණය කරයි, තවමත් ලොගින් වූ පිටුවක් පෙන්වන බ්‍රවුසරයක් උමඟ සැසිය තවමත් වලංගු ද යන්න ගැන කිසිවක් නොකියයි. කල් ඉකුත් වූ පසු නැවත සම්බන්ධ වීම යනු වෙබ් අදියර නැවත කර නව කුකියක් සෑදීමයි, නැවත සත්‍යාපනයේ අරමුණ ද එයම ය, ඉංජිනේරු විද්‍යාවෙන් මඟ හැරිය යුතු කරදරයක් නොවේ.

කුකියක් වෙනත් ප්‍රවේශපත්‍ර සඳහා සර්වව්‍යාපී ආදේශකයක් ලෙස නොසලකන්න. SAML ප්‍රකාශයක්, බ්‍රවුසර මුරපදයක් සහ තවත් සේවාවක් නිකුත් කළ කුකියක් වෙනස් ප්‍රේක්ෂකයන් සහිත වෙනස් වස්තු වේ, එකක් අනෙකේ ක්ෂේත්‍රයට අලවා ගැනීම සාමාන්‍යයෙන් ගේට්වේයේදී අසාර්ථක වේ, නැතහොත් වඩා නරක ලෙස වැරදි විශ්වාස සීමාවට එරෙහිව සාර්ථක වේ.

පිටපත් නොතබා කුකිය භාර දීම

Linux හි වඩාත්ම ආරක්ෂිත යාන්ත්‍රික භාරදීම සම්මත ආදානයයි. --cookie-on-stdin අගය stdin වෙතින් කියවයි, එබැවින් කුකිය කිසිදා ක්‍රියාවලියේ තර්ක ලැයිස්තුවේ නොපෙනේ, එහිදී ඕනෑම දේශීය පරිශීලකයෙකුට එය ps මගින් කියවිය හැක. එක් ක්‍රියාවලියක සත්‍යාපනය කර අනෙකක උමඟට ආහාර සපයන නල මාර්ගය අගය ගොනුවක හෝ පරිසර විචල්‍යයක නොව නළයක තබා ගනී.

තර්ක සහ පරිසර විචල්‍ය විවිධ හේතූන් නිසා දුර්වල ය. තර්කයක් සේවාදායකයාගේ මුළු ජීවිත කාලය පුරාම ක්‍රියාවලි වගුවේ පෙනේ, බොහෝ විට ෂෙල් ඉතිහාසයට ද යයි. පරිසර විචල්‍යයක් දරු ක්‍රියාවලිවලට උරුම වේ, ඒකක ගොනුවේ එය සකසන systemd ඒකකය රහස කියවිය හැකි වින්‍යාසයක තබයි. ගොනුවක් අවශ්‍ය නම්, එය සේවා ගිණුමට සීමා කර සැසිය අවසන් වූ විට ඉවත් කරන්න.

වරප්‍රසාද සීමාව ද හිතාමතා තබා ගන්න. අනන්‍යතා සැපයුම්කරු සමඟ කතා කර සමහරවිට බ්‍රවුසරයක් විවෘත කරන ක්‍රියාවලිය එම ලොගිනයට හිමි පරිශීලකයා ලෙස ක්‍රියාත්මක විය යුතුය. මාර්ග, DNS සහ උමඟ උපාංගය වින්‍යාස කරන ක්‍රියාවලියට වැඩි වරප්‍රසාද අවශ්‍ය විය හැක. root සතු උමඟකට කුකිය ලබා දීම සඳහා මුළු බ්‍රවුසරයම root ලෙස ධාවනය කිරීම වැරදි මාරුවකි, නවීන OpenConnect සැකසුම් එම අගය එම සීමාවෙන් ඔබ්බට පැහැදිලිව භාර දිය හැක.

ලොග් කිරීම ද එම සැකයට සුදුසු ය. විස්තරාත්මක සේවාදායක ප්‍රතිදානය, සහායක ස්ක්‍රිප්ට් සහ ගේට්වේ රෝග විනිශ්චය ඉල්ලීමේ ද්‍රව්‍ය නැවත කිව හැක, සෑම ලොග් මට්ටමක්ම කුකිය සඟවන්නේ නැත. ඔබට අවශ්‍ය කුඩාම දෝෂ වාර්තාව ග්‍රහණය කර, එය හවුල් නාලිකාවලින් බැහැරව තබා, ටිකට්පතකට අමුණන්නට පෙර සඟවන ලද නියැදියක් පරීක්ෂා කරන්න.

දෙවන අදියරේ සත්‍යාපනය සහ කල් ඉකුත් වීම

දෙවන අදියර තවමත් සර්වරය සත්‍යාපනය කළ යුතුය. --authenticate මුද්‍රණය කරන FINGERPRINT යනු pin-sha256: ආකාරයේ සහතික පින් එකකි, එය --servercert සමඟ උමඟ ඇමතුමට දීමෙන් පරීක්ෂාව ඔබ සත්‍යාපනය කළ ගේට්වේ වෙත නැංගුරම් ලා තබයි. ස්ක්‍රිප්ටය සරල කිරීම සඳහා සහතික පරීක්ෂාව අක්‍රීය කිරීම කුකිය අපේක්ෂිත සත්කාරකයට දෙන බවට ඇති එකම සාක්ෂිය ඉවත් කරයි.

ගේට්වේ කුකිය ප්‍රතික්ෂේප කරන විට විසඳුම නව සත්‍යාපන වටයකි, දිගු කැෂ් එකක් නොවේ. කුකිය සම්බන්ධතාවයේ ජීවිත කාලය තුළ පමණක් තබා ගන්න, පිටවන විට තාවකාලික ගොනු මකන්න, සැසිය හෙළිදරව් වූ විට හෝ උපාංගයක් නැති වූ විට අනන්‍යතා සැපයුම්කරුගේ හෝ ගේට්වේයේ සැසි ඉවත් කිරීමේ ක්‍රියාවලිය භාවිත කරන්න. කැෂ් කළ කුකියක් MFA වෙතින් නිදහසක් නොවේ.

මෙය ස්වයංක්‍රීය කිරීමට පෙර කරුණු හතරක් සත්‍යාපනය කරන්න: උමඟ නිවැරදි ගිණුම යටතේ ධාවනය වේ, කුකිය stdin හරහා පැමිණේ, සහතිකයේ ඇඟිලි සලකුණ පින් කර ඇත, සහ උමඟ වැසෙන විට සැසිය ඉවතට දමයි. මේවායින් එකක් නොමැති නම්, ස්වයංක්‍රීයකරණය අත්පොත ප්‍රවාහය ප්‍රතිනිර්මාණය කිරීම වෙනුවට කුකිය කෙරෙහි විශ්වාසය පුළුල් කර ඇත.