Prihlásenie do VPN certifikátom na Macu: identita, použitie kľúča alebo dôvera k bráne?
Za prihlásením certifikátom stoja tri rozhodnutia: ktorá identita sa vyberie, či komponent VPN smie použiť svoj kľúč a či je bráne dôverované.
Prihlásenia do VPN založené na certifikáte žiadajú od Macu niečo užšie než heslo: použi tento konkrétny súkromný kľúč, v tomto kontexte vykonávania, aby si voči tej bráne preukázal identitu. Keď to zlyhá, správa zvyčajne opisuje len poslednú vec, ktorá sa pokazila, a tá je len zriedka príčinou. Prejdenie troch rozhodnutí v poradí, v akom ich systém prijíma, udržiava diagnózu čestnú a bráni tomu, aby sa lokálny problém s oprávneniami považoval za zlyhanie overenia reťazca.
Prejdi prihlásenie v poradí, v akom to robí Mac
Najprv klient vyberie identitu: certifikát spárovaný s použiteľným súkromným kľúčom, dostupný cez podporované úložisko alebo poskytovateľa poverení. Potom komponent VPN požiada o vykonanie kryptografickej operácie tým kľúčom a lokálny model autorizácie odpovie. Až keď obe uspejú, nastane vzdialené podanie ruky, kde Mac hodnotí bránu a brána hodnotí dôkaz klienta.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Čítaj tabuľku zhora nadol a zastav sa na prvom riadku, ktorý zlyhá. Všetko pod zlyhaním je nepreukázané, a preto je „certifikátu sa nedôveruje“ taký častý a taký nespoľahlivý záver.
Čo lokálne oprávnenie skutočne pokrýva
V modeli zväzku kľúčov macOS nesú chránené položky pravidlá prístupu špecifické pre operáciu a zoznam dôveryhodných aplikácií. Podpisovanie súkromným kľúčom je jednou z tých operácií a pravidlá platia pre spustiteľný súbor, ktorý ju vykonáva, nie pre certifikát ako dokument. Referencia Apple o riadení prístupu tiež kreslí hranicu medzi týmto modelom a zväzkom kľúčov iCloud a usporiadaním prístupových skupín, takže rada napísaná pre jedno sa neprenáša na druhé.
Z toho vyplývajú dva dôsledky. To, že je verejný certifikát viditeľný v zozname, nedokazuje, že sa na pozadí bežiaca časť VPN k tomu kľúču vôbec dostane. A oprávnenie udelené front-endovej aplikácii nehovorí nič o samostatnom pomocníkovi ani sieťovom rozšírení, pretože to je iný kód s inými identitami.
Zisti skutočnú implementáciu a jej podporovaný mechanizmus zdieľania poverení namiesto kopírovania cesty k spustiteľnému súboru zo starého klienta. Najprv potvrď, ktorú identitu systém vôbec ponúkne:
security find-identity -v -p ssl-clientAko čítať errSecInteractionNotAllowed
Ten stav hlási nepovolenú interakciu so Security Server a nehovorí nič o reťazcoch certifikátov. Čítaj ho spolu s operáciou, ktorá ho vyvolala: žiadosť o podpis vydaná z kontextu, ktorý nedokáže zobraziť výzvu, zlyhá týmto spôsobom, aj keď sú kľúč aj certifikát úplne platné. Začať treba operáciou, ktorá to zaznamenala, nie úložiskom certifikátov. Čokoľvek zmeníš na kotvách dôvery, nechá chybu presne tam, kde bola.
Preto ber kód ako dôvod preskúmať kontext vykonávania a autorizáciu. Brať ho ako dôkaz, že CA brány nie je dôveryhodná, ťa pošle do nesprávnej polovice problému a zmena, ktorú tam urobíš, chybu vôbec neovplyvní.
Opravuj úzko, nie široko
Začni pokynmi na registráciu alebo import od vlastníka pripojenia. Zaznamenaj verziu klienta, rozsah profilu, zvolenú identitu a prvú relevantnú lokálnu chybu, pretože tieto štyri fakty potrebuje odovzdanie podpore a od nich závisí neskoršie porovnanie. Spravovaný profil alebo identita podporená hardvérom môže vyžadovať, aby správca alebo poskytovateľ odovzdanie opravil, a žiadne množstvo lokálnych kliknutí to nenahradí.
Tam, kde produkt očakáva súhlas používateľa, zisti, ktorý komponent oň žiada, a schváľ len ten prístup podporovaným tokom. Tam, kde komponent nemá spôsob vyvolať výzvu v kontexte, v ktorom beží, musí sa zriadenie riadiť cestou, ktorú dokumentuje dodávateľ, nie dialógom vytiahnutým z iného okna terminálu.
V starších radách sa dve zmeny spájajú a obe sú príliš široké. Udelenie prístupu ku súkromnému kľúču každej aplikácii rozširuje lokálne používanie kľúča ďaleko za požiadavku a nastavenie certifikátu na Always Trust mení hodnotenie certifikátov pre všetko na stroji. Ani jedna nevyjadruje „táto schválená implementácia VPN, používajúca túto zamýšľanú identitu“.
Over lokálne, kým prečítaš bránu
Po oprave potvrď, že lokálna operácia uspeje skôr, než začneš interpretovať akúkoľvek odpoveď z druhej strany. Ak podpisovanie teraz funguje, neskoršie odmietnutie mena, reťazca alebo prijatia klienta je nový výsledok, nie recidíva, a patrí inému rozhodnutiu s iným zodpovedným.
Užitočné odovzdanie pomenuje, ktoré z troch rozhodnutí zlyhalo, a tam sa zastaví. Nikdy neobsahuje súkromný kľúč a nikdy neresetuje nesúvisiace položky zväzku kľúčov v nádeji, že čistý stav pomôže. Tie dve návyky si zaveď pred incidentom, nie počas neho, keď je pokušenie vyskúšať všetko naraz najsilnejšie. Tiket, ktorý hovorí „zväzok kľúčov prestavaný“, takmer nič nehovorí ďalšiemu čitateľovi o pôvodnej poruche.