Sidee OpenConnect u beddelaa cookie-ga gelitaanka tunnel?

OpenConnect wuxuu isku xiraa laba isdhaafsi oo kala duwan hal qiimo oo gaaban: gelitaanka web-ka iyo tunnel-ka VPN. Isdhaafsiga koowaad waa HTTPS caadi ah: aqoonsiga, safar SAML ama token ayaa u tagta gateway-ga, jawaabtuna waxay qaaddaa cookie xaqiijin. Isdhaafsiga labaad wuxuu cookie-gaas u soo bandhigaa isla gateway-gaas caddayn ah in wejiga web-ku horey u dhacay, markaas oo kaliya ayaa tunnel-ku kacaa.

Inta lagu jiro gelitaanka wax wax ku saabsan tunnel-ka lama wada hadlo. Tan ayaa ah qaybta mudan in la fahmo, sababtoo ah khaladaadka script-ka intooda badan waxay u maleynayaan in cookie-gu yahay password la kaydiyo ama fure ilaaliya socodka, halka run ahaantii uu yahay tikit qaade oo loogu talagalay fadhi gateway gaar ah.

Waxa macmiilka iyo gateway-ga isdhaafsadaan, si kala horeysan

Wejiga xaqiijinta wuxuu u eg yahay website caadi ah oo la ilaaliyo. OpenConnect wuxuu diraa aqoonsiga isticmaalaha, ama wuxuu raacaa leexinta gateway-ga ee ku wajahan bixiye aqoonsi, gateway-na wuxuu ku jawaabaa dukumeenti ay ku dhex jirto cookie xaqiijinta. Protocol-ka AnyConnect qiimahaas wuxuu ku socdaa cinwaanka cookie-ga codsiyada xiga, badanaa magac sida webvpn, buug-gacmeedkuna wuxuu u arkaa aqoonsiga fadhiga hore u qaada.

Wejiga labaad waa codsi CONNECT oo u socda barta VPN ee gateway-ga iyadoo cookie-gaas ku lifaaqan. Gateway-gu wuu hubiyaa, wuxuu qoondeeyaa cinwaan, macmiilkuna wuxuu bilaabaa CSTP oo TLS dul socda, DTLS-na waa dariiqa xogta degdegga badan ee ikhtiyaariga ah marka fadhigu jiro. Waa markan oo kaliya la dhigo xuduudaha tunnel-ka, waddooyinka, habaynta DNS iyo furaha socodka fadhiga. Cookie-gu wuxuu macmiilka ka gudbiyay albaabka; waxba ma qarin.

Taxanahani wuxuu sharaxaa sababta openconnect --authenticate u jiro. Orod, wuxuuna sameeyaa wejiga web-ka, wuxuu daabacaa baloog yar oo doorsoomayaal shell ah sida COOKIE, HOST, CONNECT_URL iyo FINGERPRINT, ka dibna wuu baxaa ka hor inta aan tunnel la dhisin. Script duuban ayaa markaas ku bilaabi kara isku xirka dhabta ah qiimayaashaas, waana kala qaybinta saxda ah ee loo baahan yahay in lagu daabaco iyada oo aan madax lahayn ama laba weel.

Cookie-gu waa qaade fadhi, ma aha fure

Ula dhaqan qiimaha sida aad ula dhaqmi lahayd aqoonsiga fadhiga ee codsi web. Qof kasta oo haysta inta uu nool yahay wuxuu gateway-ga ka codsan karaa tunnel-ka uu fadhigaas xaq u leeyahay, marka qarsoodigiisu waa muhiim. Laakiin koobi-u-qaadashada ma muujiso socodka, sababtoo ah qarsoodiga tunnel-ku wuxuu ka yimaadaa is-gacan-qaadka TLS iyo furaha laga soo saaray, ma aha xargaha cookie-ga.

Sidoo kale ma aha fasax joogto ah. Gateway-ga iyo bixiyaha aqoonsiga ayaa go'aamiya inta fadhigu noolaanayo, browser-ka weli muujinaya bog la galay waxba kama sheegayo haddii fadhiga tunnel-ku weli ansax yahay. Dib u xirid ka dib dhicitaanka waxay ka dhigan tahay in la celiyo wejiga web-ka oo la sameeyo cookie cusub, taasina waa ujeeddada dib-u-xaqiijinta, ma aha dhibaato in laga gudbo injineernimo.

Ha u qaadan cookie-ga beddel caalami ah oo aqoonsiyo kale. Caddaynta SAML, password browser-ka iyo cookie ay soo saartay adeeg kale waa waxyaabo kala duwan oo leh dad kala duwan, iyo in mid lagu dhejiyo goobta kale badanaa wuu ku guuldareystaa gateway-ga ama, ka sii xun, wuu ku guuleystaa xadka aaminnimo ee khaldan.

Gudbinta cookie-ga iyada oo aan koobi laga tegin

Gudbinta farsamada ugu ammaan badan Linux waa gelinta caadiga ah. --cookie-on-stdin wuxuu qiimaha ka akhriyaa stdin, sidaas darteed cookie-gu weligiis kama muuqdo liiska doodaha geedi socodka, halkaas oo isticmaale maxalli ah uu ku akhriyi karo ps. Tubada ku xaqiijisa hal geedi socod oo ku quudisa tunnel-ka mid kale waxay qiimaha ku haysaa tubo halkii ay ku haysan lahayd fayl ama doorsoome deegaan.

Doodaha iyo doorsoomayaasha deegaanku way ka daciifsan yihiin sababo kala duwan. Dooddu waxay ka muuqataa shaxda geedi socodka inta uu macmiilku nool yahay oo badanaa waxay ku dhammaataa taariikhda shell-ka. Doorsoome deegaan waxaa dhaxla geedi socodyada carruurta, unug systemd oo ku dhigta faylka unugga wuxuu sirta ku kaydiyaa habayn la akhrin karo. Haddii fayl lagama maarmaan yahay, ku xaddid akoonka adeegga oo tirtir marka fadhigu dhammaado.

Sidoo kale xadka mudnaanta si ula kac ah u hay. Geedi socodka la hadla bixiyaha aqoonsiga oo laga yaabo inuu browser furo waa inuu u shaqeeyaa sida isticmaalaha leh gelitaankaas. Geedi socodka habaynta waddooyinka, DNS iyo qalabka tunnel-ka waxaa laga yaabaa inuu u baahan yahay mudnaan badan. In browser-ka oo dhan loo ordiyo sidii root si cookie-giisu u heli karo tunnel uu root leeyahay waa beddel khaldan, iyo habaynta casriga ah ee OpenConnect waxay si cad qiimaha uga gudbin kartaa xadkaas.

Diiwaangelintuna waxay mudan tahay shakigaas oo kale. Soo-saarka macmiilka ee faahfaahsan, script-yada caawinta iyo baaritaanka gateway-ga dhammaantood waxay ku celin karaan maaddada codsiga, oo aan heer kasta oo diiwaan ah qarin cookie-ga. Qabo diiwaanka khaladka ugu yar ee aad u baahan tahay, ka fogee kanaallada la wadaago, oo hubi muunad qarsoon ka hor intaadan ku lifaagin tikit.

Xaqiijin iyo dhicitaan wejiga labaad

Wejiga labaad wali waa inuu xaqiijiyaa server-ka. FINGERPRINT ee uu daabaco --authenticate waa dhejis shahaado oo qaab pin-sha256:, oo u gudbinta wicitaanka tunnel-ka iyadoo --servercert la isticmaalayo waxay hubinta ku haysaa ku xidhan gateway-ga aad isku xaqiijisay. Daminta hubinta shahaadada si script loo fududeeyo waxay meesha ka saartaa caddaynta kaliya ee ah in cookie-ga la gudbinayo martigeliyaha loogu talagalay.

Marka gateway-gu diido cookie-ga, xalku waa wareeg xaqiijin cusub, ma aha kayd dheer. Kaydi cookie-ga inta uu socdo isku xirka oo kaliya, tirtir faylasha ku meel gaadhka ah markaad baxdo, oo isticmaal habka ka-saarista fadhiga ee bixiyaha aqoonsiga ama gateway-ga marka fadhi la muujiyo ama qalab lunto. Cookie la kaydiyay ma aha ka-tagis MFA.

Ka hor intaadan tan otomaatig ka dhigin, xaqiiji afar wax: tunnel-ku wuxuu ku socdaa akoonka saxda ah, cookie-gu wuxuu yimaadaa stdin, raadka faraha ee shahaadada waa la dhejiyay, fadhigaana waa la tuurayaa marka tunnel-ku xirmo. Haddii mid ka mid ah puudho, otomaatigu wuxuu ballaariyay kalsoonida cookie-ga halkii uu dib u soo saari lahaa qulqulka gacanta.