ටෝකනයක් සඳහා OpenConnect ට අවශ්‍ය වන PKCS#11 URI කුමක්ද?

දැනටමත් නිවැරදි යතුර ඇති ස්මාර්ට් කාඩ්පතකට පවා එහි කුමන වස්තුව භාවිත කළ යුතුදැයි කීම අවශ්‍යය. එවැනි අවස්ථාවක OpenConnect ට පිටපත් කළ .key ගොනුවක් අවශ්‍ය නැත; එයට සහතිකය නම් කරන PKCS#11 URI එකක් අවශ්‍ය වන අතර, ස්වයංක්‍රීය සෙවීමට කටයුතු නිම කළ නොහැකි විට එයට යාබදව ඇති පෞද්ගලික යතුරද නම් කළ යුතුය. අපහසු කොටස නම් ව්‍යාකරණමය වශයෙන් වලංගු URI එකක් කිසිවක් ඔප්පු නොකරයි. එය කාඩ්පත විවෘත කිරීමට කැමති වස්තුවක් පමණක් නොව, ද්වාරය දැනටමත් විශ්වාස කරන ලියාපදිංචිය නම් කළ යුතුය.

අපනයනය කළ යතුරක් වෙනුවට සේවාදායකයට අවශ්‍ය කුමක්ද

-c විකල්පය සාමාන්‍යයෙන් ගොනු මාර්ගයක් ගනී, නමුත් අගය PKCS#11 URI ලෙස විග්‍රහ වන විට, OpenConnect එය තැටියේ ගොනුවකට නොව ටෝකනය තුළ ඇති වස්තුවකට යොමුවක් ලෙස සලකයි. -k විකල්පය පෞද්ගලික යතුර සඳහා එලෙසම ක්‍රියා කරයි. කිසිවක් අපනයනය නොවන අතර යතුර කාඩ්පත ලබා දෙන ආරක්ෂාව කිසිදා නොහැරයයි. සේවාදායකයට ඔබෙන් අවශ්‍ය වන්නේ ටෝකන් මොඩියුලය, සහතික ගබඩාව සහ ද්වාර ලියාපදිංචිය එකඟ වන නමකි.

බොහෝ උත්සාහයන් නතර වන්නේ මෙම අවසාන සීමාවේදීය. URI එකක් සම්පූර්ණයෙන් හොඳින් සැකසී තිබියදීත් ද්වාරය ප්‍රතික්ෂේප කරන සහතිකයක් තෝරාගත හැක, මන්ද වලංගුභාවය සහ අදාළත්වය වෙනස් ප්‍රශ්න වේ. කළ යුතු පරීක්ෂාව වන්නේ ලියාපදිංචි වාර්තාව සමඟ සැසඳීමයි, අහම්බෙන් විවෘත වන පළමු වස්තුව සෙවීම නොවේ.

URI දෙකක්, වෙනස් කාර්‍යයන් දෙකක්

සහතිකයේ URI ඔබ ඉල්ලා සිටින අනන්‍යතාවය පිළිතුරු දෙයි. එය රහස්‍ය නොවන යතුර සහ විෂය පේළිය VPN පරිපාලක විසින් නිකුත් කළ ගිණුම් හෝ උපාංග පැතිකඩට ගැළපෙන සහතික වස්තුවකට යොමු කරයි. එම සහතිකයම සාමාන්‍යයෙන් යාබදව ගබඩා කර ඇති පෞද්ගලික යතුරු වස්තුවක් සමඟ පැමිණේ, TLS අත් සම්බන්ධයට ඇත්තෙන්ම අවශ්‍ය වන්නේ එම යුගලයයි.

යතුරේ URI OpenConnect එය අනුමාන කළ නොහැකි විට ගැළපෙන පෞද්ගලික ද්‍රව්‍යය කොහේදැයි පිළිතුරු දෙයි. -c පමණක් සකසා ඇති විට සේවාදායකය සහතිකයේ ගුණාංගවලින් යතුරු සෙවීමක් ගොඩනඟයි; -k ලබා දීම අනුමානය වෙනුවට පැහැදිලි වස්තු යොමුවක් තබයි. ටෝකනයේ PIN තුන්වන, සම්බන්ධ නොවන ආදානයයි: එය ක්‍රියාව සඳහා කාඩ්පත විවෘත කරන අතර කිසිදා වස්තුවක් හඳුනා නොගනී.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

එම උද්ධෘත තන්තුවේ ඇති සියල්ල දත්තයි. අර්ධ විරාම URI ගුණාංග වෙන් කරන අතර ප්‍රතිශත escape විග්‍රහය බිඳ හෙළන අක්ෂර කේතනය කරයි, එබැවින් මුළු තර්කයම ෂෙලයෙන් හානි රහිතව ගමන් කළ යුතුය.

ඔබේ ලියාපදිංචියට ගැළපෙන URI සොයා ගැනීම

GnuTLS සමඟ p11tool එයි, එය වත්මන් පරිශීලකයාට p11-kit හරහා ඇත්තෙන්ම ළඟා විය හැකි දේ ලැයිස්තුගත කරයි. p11tool --list-tokens සමඟ ආරම්භ කරන්න, පසුව ඔබට වැදගත් ටෝකනයේ සහතික වස්තු ලැයිස්තුගත කරන්න. වස්තු PIN එකකින් පසුව පමණක් දිස්වේ නම් --login එකතු කරන්න, සහ පළමුව දිස්වන දේ තෝරා ගැනීම වෙනුවට විෂය සහ නිකුත් කරන්නා ලියාපදිංචි වාර්තාව සමඟ සසඳන්න.

ටෝකනය කිසිසේත් නොපෙනේ නම්, ගැටළුව OpenConnect යටින් පවතී: p11-kit හි එම මැදි මෘදුකාංගය සඳහා ලියාපදිංචි මොඩියුලයක් නැත, නැතහොත් මොඩියුලය වෙනත් ගිණුමක් සඳහා ලියාපදිංචි කර ඇත. පද්ධති-ව්‍යාප්ත ලියාපදිංචිය /etc/pkcs11/modules යටතේ පවතින අතර, පරිශීලක-අනුව නාමාවලියකට පද්ධති පිටපත ස්පර්ශ නොකර එයම තබා ගත හැක. මොඩියුල ගොනුවේ සපයන්නාගේ මාර්ගය පාඨකයාගේ මෘදුකාංගය ඇත්තෙන්ම ස්ථාපනය කළ පුස්තකාලයකට යොමු වේදැයි පරීක්ෂා කරන්න.

ලැයිස්තුවෙන් URI පිටපත් කරන විට එය වටා ඇති උද්ධෘත ලකුණු තබා ගන්න. උද්ධෘත නොකළ අර්ධ විරාම තර්කය පළමු ගුණාංගයේදී කපා දමන අතර සේවාදායකය පසුව සොයාගත නොහැකි වස්තුවක් වාර්තා කරයි.

ස්වයංක්‍රීය යතුරු සෙවීම අත්හැරෙන විට

OpenConnect හට සහතිකයේ URI එකෙන් යතුරු සෙවීමක් ව්‍යුත්පන්න කළ හැක, නමුත් එය සිදු කරන නිශ්චිත ගැළපීම අනුවාදය මත රඳා පවතින අතර වස්තු වර්ගය සහ ලේබලය හැසිරවීම කාලයත් සමඟ වෙනස් වී ඇත. වැඩ කරන තෙක් URI කෙටි කරන්න යන උපදෙස් පැරණි විකල්ප මාර්ගයක් විස්තර කරයි, අවශ්‍යතාවක් නොවේ. ව්‍යුත්පන්න සෙවීම අසාර්ථක වුවහොත්, සහතිකයේ URI තවත් අපැහැදිලි දෙයකට වෙනස් කරනවා වෙනුවට -k සමඟ යතුර පැහැදිලිව නම් කරන්න.

සේවාදායකයට දොස් පැවරීමට පෙර යතුර ඇති බවත් p11tool --list-keys සමඟ පෙනෙන බවත් තහවුරු කරන්න. පසුව වස්තුව අත්සන් කිරීමට හෝ විග්‍රහ කිරීමට භාවිත කළ හැකි ලෙස සලකුණු කර ඇත්දැයි පරීක්ෂා කරන්න, මන්ද වැරදි ගුණාංග සහිතව ජනනය කළ යතුරකට URI කොතරම් නිවැරදි වුවත් අත් සම්බන්ධය සම්පූර්ණ කළ නොහැක. OpenVPN පැතිකඩකින් අනුක්‍රමික pkcs11-id අගයක් OpenConnect විකල්පයකට මාරු නොකරන්න; එකම කාඩ්පත සමඟ කතා කළත් සේවාදායක දෙක වෙනස් හඳුනාගැනීම් ආකෘති භාවිත කරයි.

URI විසඳී PIN පිළිගැනුණද සත්‍යාපනය තවමත් අසාර්ථක වේ නම්, URI සීරුමාරු කිරීම නවත්වන්න. ද්වාරයේම දෝෂය කියවන්න, මන්ද ඊළඟ අසාර්ථකත්වය ටෝකනයට ඉහළින් පවතී.

URI ගැටළු ලෙස පමණක් පෙනෙන අසාර්ථකතා

වෙනත් ප්‍රොටෝකෝලයක් කතා කරන ද්වාරයක් ඔබේ URI නිවැරදි වුවත් වැරදි වුවත් එලෙසම අසාර්ථක වේ. OpenConnect පැරණි vpnc සේවාදායකය ප්‍රතිස්ථාපනය කළේ හේතුවක් නිසාය, කාඩ්පත් සහාය නොගැළපෙන ද්වාර ප්‍රොටෝකෝලයක් ගැළපෙන එකක් නොකරයි. වස්තු ගුණාංග සඳහා තවත් පැයක් වැය කිරීමට පෙර සේවාදායකයේ අපේක්ෂිත ප්‍රොටෝකෝලය සහ සත්‍යාපන වින්‍යාසය තහවුරු කරන්න.

සේවාදායකයේ අනන්‍යතාවය සත්‍යාපනය කිරීමද වෙනම ස්තරයකි. සේවාදායකය ද්වාරයේ සහතිකය තම විශ්වාස ගබඩාව සමඟ පරීක්ෂා කරන අතර, එම පරීක්ෂාව කාඩ්පත දැනටමත් තම කොටස කළ පසුව ක්‍රියාත්මක වේ. පාඨක අවසර සහ නතර වූ pcscd සේවාව එකම බාහිර රෝග ලක්ෂණය ඇති කරයි, කියවිය නොහැකි ටෝකනයක්, නමුත් නිවැරදි කිරීම වඩාත් පහසුය.

වස්තුවේ සිට පිටතට වැඩ කරන්න: p11tool ටෝකනය දකීද, සහතිකය සහ යතුර දකීද, OpenConnect URI පිළිගනීද, පසුව පමණක් ද්වාරය අනන්‍යතාවය පිළිගනීදැයි අසන්න. සෑම පියවරකටම තමන්ගේ දෝෂ පණිවිඩයක් ඇති අතර, එකින් එක ඊළඟ එකට වඩා පරීක්ෂා කිරීමට ලාභදායීය.