OpenVPN pozneje prekine sejo OTP: kaj zahteva ponovna avtentikacija

S strani odjemalca je videti kot naključna prekinitev uro po začetku delovne seje. Ikona v pladnju izgine, predor se znova zgradi, dnevnik pa pokaže napako avtentikacije namesto omrežne napake. V resnici je seja znova pogajala in drugo rokovanje je potrebovalo poverilnice, katerih veljavne kopije odjemalec ni imel več. Enkratna koda, ki je delovala ob prijavi, ne more delovati znova, zato ponovna izmenjava ključev spodleti točno tako, kot je predvideno.

Rešitev je odločitev o tem, kaj naj drugo rokovanje predstavi, ne daljši časovnik ponovnih poskusov.

Pojdite skozi izmenjavo z vidika odjemalca

Ob prijavi odjemalec pošlje uporabniško ime, geslo in kodo z naprave za žeton, strežnik pa kombinacijo sprejme. Nato seja teče, dokler se ne sproži trigger za ponovno pogajanje, ki začne novo rokovanje TLS znotraj obstoječega predora. To rokovanje znova zahteva avtentikacijo. Če pot avtentikacije na strežniku pričakuje geslo in trenutno enkratno kodo, odjemalec nima nove kode, ki bi jo predstavil, razen če je uporabnik prisoten in jo vtipka.

Večina odjemalcev med sejo ne odpre poziva, zato rokovanje poteče in predor pade. Uporabnik vidi ponovno povezavo, ne poziva za avtentikacijo, zato prvo poročilo običajno krivi omrežje.

auth-gen-token spremeni, kdo odgovori na drugo vprašanje

Možnost auth-gen-token strežniku omogoči, da po uspešni prijavi izda žeton, poznejša pogajanja pa predstavijo ta žeton namesto ponavljanja gesla in kode. Priročnik dokumentira njegovo življenjsko dobo in vedenje pri obnavljanju, žeton pa je treba obravnavati kot poverilnico z lastnim rokom veljavnosti. Na privzeti poti strežnik žeton preveri sam, namesto da bi znova poklical zunanji avtentikator gesel.

Z integracijo zunanje avtentikacije se ta delitev spremeni. Vtičnik mora razumeti stanje žetona in uporabiti lastne preverbe, ker strežnik ni več edina komponenta, ki odloča, ali se seja nadaljuje. Obravnavanje žetona kot še ene številčne enkratne kode ni izvedba te funkcije.

Odločite, kaj se zgodi s stanjem računa

Žeton, ki preživi dostop računa, je luknja v politiki. Odločite, kako onemogočen račun, odstranjeno članstvo v skupini ali preklicana naprava delujejo, medtem ko je žeton še veljaven. Kratke življenjske dobe žetona zožijo okno; izrecna pot preklica jo naredi namerno. Odgovor zapišite, preden možnost vklopite, ker se privzeta pot ob vsakem ponovnem pogajanju ne posvetuje z zunanjim avtentikatorjem.

V postavitvi z več strežniki mora biti skrivnost za podpisovanje žetonov v skupni rabi, sicer je lahko odjemalec poslan na vozlišče, ki ne more preveriti njegovega žetona.

Preizkusite potek in ponovno povezavo, ne le prijave

V preskusnem profilu zmanjšajte interval ponovnega pogajanja, da se drugo rokovanje zgodi pred vašimi očmi, nato spremljajte oba dnevnika. Potrdite, da se žeton izda ob prijavi, predstavi ob izmenjavi ključev in obnovi ali znova izda glede na nastavljeno življenjsko dobo. Nato vsilite potek žetona in popolno ponovno povezavo, ker lahko odjemalec, ki se čisto znova poveže, še vedno spodleti na poti izmenjave ključev.

Odstranitev računa preizkusite nazadnje. Ta primer vam pove, ali se zapisana politika uveljavlja ali je le dokumentirana.

Ne popravljajte tega z izklopom obnavljanja

Nastavitev intervala ponovnega pogajanja na nič na obeh straneh odstrani simptom in z njim vrtenje ključev. To skrije težavo s ponovno uporabo poverilnic za spremembo politike, ki je nihče ni pregledal. Obdržite obnavljanje in izberite med žetonom, ki ga izda strežnik, in novim interaktivnim izzivom glede na to, ali je uporabnik prisoten.

Daljši časovnik ponovnih poskusov ne naredi porabljene kode znova veljavne. Le odloži prekinitev in oteži branje dnevnika.