Certifikata VPN për Mac: pse zgjedhësi i identitetit mbetet bosh
Klienti ka nevojë për një certifikatë me çelësin privat, në një depo që e lexon. Kontrolloni së pari identitetin, pastaj nëse porta e pranon atë.
Instaluat certifikatën, ajo shfaqet në Keychain Access me një emër miqësor dhe zgjedhësi i identitetit të klientit VPN mbetet bosh. Klienti nuk kërkon një certifikatë. Kërkon një identitet: një certifikatë të çiftuar me çelësin privat që mund të provojë zotërimin, e ruajtur aty ku klienti lejohet ta lexojë.
Ajo që kërkon klienti është identiteti
Korniza e sigurisë e Apple i trajton certifikatën dhe identitetin si objekte të ndryshme. Certifikata është të dhëna publike. Identiteti është ajo certifikatë plus çelësi i saj privat, dhe vetëm identiteti mund të përfundojë një sfidë. Një certifikatë CA e besuar, nga ana tjetër, lejon klientin të vlerësojë një lëshues; nuk e bën makinën mbajtëse të një kredencialeje klienti të lëshuar.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Kjo është arsyeja pse importimi i një skedari .cer nuk prodhon kurrë një identitet klienti të përdorshëm. Skedari mban vetëm material publik, dhe asnjë riemërtim apo besim nuk e bën atë një palë çelësash.
Tre arsye pse zgjedhësi mbetet bosh
E para është një çelës privat që mungon, që do të thotë se procesi i regjistrimit ose i importimit nuk dha asnjë. E dyta është një depo që klienti nuk e konsulton: një profil me shtrirje përdoruesi shikon në vargun e çelësave të përdoruesit, dhe një artikull i vendosur në një depo sistemi mund të jetë i padukshëm për të. E treta është një mospërputhje qëllimi ose politike, ku certifikata ekziston por nuk është e vlefshme për vërtetimin e klientit sipas rregullave të vendosjes.
security find-identity -v -p ssl-clientKjo liston identitetet që sistemi i konsideron të vlefshme për vërtetimin e klientit. Nëse numri është zero, problemi është përpara klientit VPN dhe asnjë redaktim i profilit nuk do ta rregullojë. Nëse identiteti shfaqet këtu por jo në klient, ndryshimi është në depon ose shtrirjen e klientit.
Ku jeton çelësi privat dhe kush mund ta përdorë atë
Kur importoni një identitet përmes Keychain Access, dialogu i importimit ofron një varg çelësash destinacioni. Cila destinacion është e saktë varet nga klienti dhe nga fakti nëse profili ka shtrirje përdoruesi apo pajisjeje. Një përgjigje e vjetër që rekomandon vargun e çelësave të sistemit nuk është rregull universal, dhe kopjimi i artikujve midis depove nuk është riparim.
System Roots është një koleksion besimi. Vendosja e një certifikate atje ndryshon se cilët lëshues sistemi i beson; nuk krijon një çelës privat dhe nuk është depo identitetesh. Zhvendosja e certifikatave të palidhura për të mbushur një zgjedhës është lloji i rregullimit që lë një makinë me një grup besimi të zgjeruar përgjithmonë.
Qasja në çelësin privat është një kontroll i veçantë. T'i japësh çdo aplikacioni leje për të përdorur çelësin zgjidh problemin e zgjedhjes së një klienti dhe i jep të njëjtën aftësi çdo gjëje tjetër në makinë. Jepjani klientit që ka nevojë, dhe kontrolloni nëse çelësi mbështetet nga hardware ose është shënuar si i paeksportueshëm; nëse po, duhet përdorur ofruesi i mbështetur në vend të një kopjeje të eksportuar.
Si profili tregon kredencialen
Në një konfigurim IKEv2 vendas të menaxhuar, profili referon ngarkesën e kredencialit përmes PayloadCertificateUUID. Ajo që ka rëndësi është identiteti i referuar dhe mënyra se si u sigurua; redaktimi i një emri shfaqjeje në profil nuk riparon një referencë që tregon ngarkesën e gabuar ose një që nuk dha kurrë një çelës.
Një ofrues i palës së tretë mund të përdorë një mekanizëm krejt tjetër zgjedhjeje, si depoja e vet ose një kërkesë sistemi. Lexoni dokumentacionin e atij ofruesi në vend që të transferoni supozime të profilit vendas, dhe verifikoni referencën në profilin që është instaluar realisht, jo në draftin në konsolën e menaxhimit.
Zgjedhja dhe pranimi janë gurë të ndarë
Një zgjedhës i mbushur do të thotë që klienti mund të gjejë dhe përdorë një identitet. Nuk thotë asgjë për faktin nëse porta do ta pranojë. Serveri ende kontrollon lëshuesin, dritaren e vlefshmërisë, statusin e revokimit dhe hartëzimin e atij kredenciali në një llogari.
Testoni të dyja fazat në mënyrë eksplicite, në atë rend. Konfirmoni që identiteti ofrohet, lidhuni dhe pastaj kërkoni nga pronari i portës të konfirmojë cili kredencial u prezantua dhe cili rregull hartëzimi e konsumoi atë. Nëse klienti ofron një identitet dhe serveri e refuzon, puna e mbetur është në anën e serverit. Riinstalimi i certifikatës në Mac nuk do ta ndryshojë atë rezultat, sado herë të përsëritet.