OpenConnect ma u baahan tahay PKCS#11 URI tee loogu talagalay token?

Kaarka smart ee horey u haysta furaha saxda ah wali waa in la sheego shayga keenna ee lagu isticmaalayo. OpenConnect xaaladdaas ma rabo fayl .key la koobiyeeyay; wuxuu rabaa PKCS#11 URI magacaaya shahaadada iyo, marka baaritaanka otomaatiga ah uusan dhammayn karin shaqada, furaha gaarka ah ee agtiisa. Qaybta dhibka leh waa in URI si naxwe ahaan ansax ah aysan waxba caddayn. Waa in uu magacaabo diiwaangelinta ay albaabku horey u aaminsan tahay, ma aha oo kaliya shay ay kaartu diyaar u tahay in ay furto.

Waxa uu macmiilku rabo halkii furaha la dhoofiyay

Ikhtiyaarka -c wuxuu caadi ahaan qaataa waddada faylka, laakiin marka qiimaha loo fasiro PKCS#11 URI, OpenConnect wuxuu u arkaa tixraac shay ku jira tokenka halkii uu ka ahaan lahaa fayl ku yaal disk. Ikhtiyaarka -k si la mid ah ayuu u shaqeeyaa furaha gaarka ah. Waxba lama dhoofiyo, furahuna waligiis ma tago ilaalinta ay kaartu bixiso. Waxa uu macmiilku kaa u baahan yahay waa magac ay isku raacsan yihiin module-ka tokenka, kaydka shahaadooyinka iyo diiwaangelinta albaabka.

Isku dayo badan ayaa ku hakada xaddidan dambe. URI si buuxda u qaabaysan ayaa weli dooran kara shahaado ay albaabku diidi doono, sababtoo ah ansaxnaanta iyo khusaynta waa laba su'aalood oo kala duwan. Hubinta mudan waa isbarbardhigga diiwaanka diiwaangelinta, ma aha baaritaanka shayga ugu horreeya ee si shil ah u furma.

Laba URI, laba shaqo oo kala duwan

URI-ga shahaadada wuxuu ka jawaabaa aqoonsiga aad sheegaysato. Wuxuu tilmaamaa shay shahaado ah oo furaha guud iyo sadarka mawduuca uu la jaan qaadayo profile-ka akoonka ama qalabka uu bixiyay maamulaha VPN. Isla shahaadadaas caadi ahaan waxay la timaaddaa shay furaha gaarka ah oo ag yaal, labadaasna waa waxa isku xirka gacanta TLS dhab ahaan u baahan yahay.

URI-ga furaha wuxuu ka jawaabaa halka uu ku nool yahay maaddada gaarka ah ee u dhiganta marka OpenConnect uusan qiyaasi karin. Marka kaliya -c la dhigay, macmiilku wuxuu ka dhisaa baaritaan fure sifooyinka shahaadada; bixinta -k waxay beddelkaa qiyaasta tixraac shay oo cad. PIN-ka tokenku waa gelitaan saddexaad oo aan xiriir la lahayn: wuxuu furaa kaarka hawlgalka, waligii se ma aqoonsado shay.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Wax kasta oo ku jira xadhiggaas xigashada ah waa xog. Calaamadaha nus-comma waxay kala soocaan sifooyinka URI-ga oo baxsashada boqolkiiba waxay codeeysaa xuruufta haddii kale baaritaanka jebin lahaa, sidaas darteed doodda oo dhan waa in ay si nadiif ah uga gudubto qolofka.

Helitaanka URI-ga u dhigma diiwaangelintaada

GnuTLS waxay la timaaddaa p11tool, oo liis garaysa waxa isticmaalaha hadda dhab ahaan gaari karo iyada oo loo marayo p11-kit. Ku bilow p11tool --list-tokens, ka dib liis garay shayyada shahaadada ee tokenka aad danaynayso. Ku dar --login marka shayyadu ay soo baxaan kaliya PIN ka dib, oo isbarbardhig mawduuca iyo soo saaraha diiwaanka diiwaangelinta halkii aad ka dooran lahayd waxa ugu horreeya soo baxa.

Haddii tokenku gebi ahaanba soo bixin, dhibaatadu waxay ku hoos jirtaa OpenConnect: p11-kit ma laha module la diiwaangeliyay oo loogu talagalay middleware-kaas, ama module-ka waxaa loo diiwaangeliyay akoon kale. Diiwaangelinta heer nidaam waxay ku hoos jirtaa /etc/pkcs11/modules, galka isticmaal kastana wuxuu hayn karaa isla waxaas isaga oo aan taaban nuqulka nidaamka. Hubi in waddada bixiyaha ee faylka module-ka ay tilmaamayso maktabad ay software-ka akhristaha dhab ahaan rakibay.

Marka aad URI ka koobiyeysanayso liiska, hay calaamadaha xigashada ee ku wareegsan. Nus-comma aan xigasho lahayn waxay gooyaan doodda sifada ugu horreysa, macmiilkuna wuxuu markaas soo sheegaa shay uusan heli karin.

Marka baaritaanka furaha otomaatiga ah uu is dhiibo

OpenConnect wuxuu ka soo saari karaa baaritaan fure URI-ga shahaadada, laakiin iswaafajinta saxda ah ee uu sameeyo waxay ku xiran tahay nooca, habaynta nooca shayga iyo sumadda way is beddeleen waqti ka dib. Talada ah in URI la gaabiyo ilaa uu shaqeeyo waxay qeexaysaa dariiq hore, ma aha shuruud. Haddii baaritaanka la soo saaray uu guul darro yeesho, magacow furaha si cad -k halkii aad ka beddeli lahayd URI-ga shahaadada wax aan caddayn.

Kahor inta aanad macmiilka eedayn, xaqiiji in furaha uu jiro oo uu muuqdo p11tool --list-keys. Kadib hubi in shayga loo calaamadeeyay mid la isticmaali karo saxeex ama furid, sababtoo ah fure lagu sameeyay sifooyin khaldan ma dhammayn karo isku xir gacanta, si kasta oo URI-ga uu sax yahay. Ha u rarin qiimaha pkcs11-id ee taxanaha ah ee profile-ka OpenVPN gelitaanka OpenConnect; labada macmiil waxay isticmaalaan qaabab aqoonsi oo kala duwan xitaa marka ay la hadlayaan isla kaarka.

Haddii URI-ga la xalliyo oo PIN-ka la aqbalo laakiin xaqiijinta wali guul darro, jooji hagaajinta URI-ga. Akhri khaladka albaabka laftiisa, sababtoo ah guul darrada xigta waxay ka sarreysaa tokenka.

Guul darrooyin uun u eg dhibaatooyinka URI

Albaab ku hadla borotokool kale wuu si isku mid ah u guul darreystaa haddii URI-gaagu sax yahay ama khaldan yahay. OpenConnect waxay beddeshay macmiilkii hore ee vpnc sabab, taageerada kaarkuna ma ka dhigto borotokool albaab aan ku habboonayn mid ku habboon. Xaqiiji borotokoolka la filayo ee serverka iyo habaynta xaqiijinta kahor inta aanad saacad kale ku qaadan sifooyinka shayga.

Xaqiijinta aqoonsiga serverka sidoo kale waa lakab gooni ah. Macmiilku wuxuu hubiyaa shahaadada albaabka oo uu barbardhigo kaydkiisa kalsoonida, hubintaasna waxay socotaa ka dib marka kaartu horey u qabatay qaybteeda. Ogolaanshaha akhristaha iyo adeegga pcscd oo joogsaday waxay soo saaraan isla calaamad bannaanka ah, token aan la akhrin karin, iyada oo hagaajintu fudud tahay.

Ka shaqee shayga dhankiisa bannaanka: p11tool ma arkaa tokenka, ma arkaa shahaadada iyo furaha, OpenConnect ma aqbalaa URI-ga, kadibna kaliya weydii haddii albaabku aqbalo aqoonsiga. Tallaab kastaa waxay leedahay fariin khaladkeeda, mid kastana wuu ka jaban yahay tijaabinta kan xiga.