Kwanza mbinu ya EAP: hash ipi ya nenosiri VPN inaweza kutumia
VPN huthibitisha siri, si hash ya wavuti. Soma mbinu, kisha angalia kile hifadhi inashikilia kabla ya kuahidi kwamba manenosiri yale yale yataendelea kufanya kazi.
Timu nyingi zina uingiaji wa wavuti unaofanya kazi na VPN inayokataa kila nenosiri kutoka kwenye jedwali lile lile. Programu ya wavuti hulinganisha hash iliyohesabu yenyewe, wakati handaki humwomba mteja athibitishe umiliki wa siri kwa namna ambayo seva lazima iweze kuithibitisha. Haya ni matakwa tofauti kwa nyenzo zilizohifadhiwa. Ni katika pengo kati yao ambapo miradi kama hii nyingi hukwama.
Soma mbinu, kisha mpangilio
Andika ni ushahidi gani mbinu iliyochaguliwa inahitaji kabla ya kuangalia mpangilio wowote. Mbinu ya changamoto-na-jibu inahitaji nyenzo ambazo seva inaweza kukokotoa jibu linalotarajiwa kutokana nazo, ambayo kwa vitendo humaanisha nenosiri au umbo lililotolewa linaloendana. Mbinu inayobeba nenosiri ndani ya handaki lililolindwa inahitaji nenosiri lenyewe kwa mthibitishaji. Soma hati za mbinu kwa ajili ya takwa la mthibitishaji na si kwa ajili ya usanidi wa mteja, kwa sababu matakwa ya mteja kwa kawaida ni sehemu rahisi.
Hash iliyotiwa chumvi inayozalishwa na mfumo wa kisasa wa wavuti haitoi hata moja. Huthibitisha ulinganisho mmoja mahususi na haiwezi kurudishwa kwenye siri iliyotoka.
Changamoto-na-jibu haiwezi kutumia hash iliyotiwa chumvi
MSCHAPv2 ni ubadilishanaji wa changamoto-na-jibu, kwa hiyo seva haipokei nenosiri kamwe na haiwezi kulinganisha mfuatano uliohifadhiwa. Lazima itoe jibu linalotarajiwa kutoka kwenye nyenzo ambazo tayari inazo, na ndiyo sababu maumbo yaliyohifadhiwa yanayolingana ni nyembamba sana. Thamani ya bcrypt au Argon2 yenye chumvi kwa kila mtumiaji ni ya mwelekeo mmoja kwa namna inayoondoa ubadilishanaji kabisa. Jedwali lililo hapa chini linaanza na umbo la hifadhi na si jina la mbinu, kwa sababu umbo la hifadhi ndilo linaloamua jibu.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Hati za kiongezi cha SQL kwa strongSwan zinafafanua mpangilio wake wa usanidi na vitambulisho, na mradi bado unaweka alama kwenye kiongezi hicho kama cha majaribio. Hakuna chochote ndani yake kinachojipatanisha na jedwali la watumiaji la programu au kubahatisha mpango upi wa hashing ulizalisha thamani iliyohifadhiwa. Kwa hiyo chaguo za kweli ni kuhamia hifadhi ambayo lango linaweza kutumia, au huduma ya uthibitishaji mbele ya hifadhi iliyopo inayoweza kufanya ubadilishanaji. Kitu kingine chochote ni kiunganishi chenye dhana iliyofichwa ndani yake.
RADIUS huhamisha kazi, si takwa
Kukabidhi EAP kwa seva ya RADIUS hubadilisha mahali uthibitishaji unafanyika na kwa kawaida huboresha alama ya ukaguzi. Hairejeshi nenosiri kutoka kwenye hash ya mwelekeo mmoja, kwa hiyo huduma ya uthibitishaji bado inahitaji nyenzo zinazoendana na mbinu inayoimaliza. Timu hujua hili baada ya kujenga njia ya RADIUS na kukutana na ukuta ule ule upande wa pili.
Mahali ambapo seva ya RADIUS inaweza kusoma saraka iliyo na vitambulisho vinavyoendana, muundo hufanya kazi na lango la VPN hubaki rahisi. Mahali ambapo haiwezi, jibu la uaminifu ni mabadiliko ya usajili na si kiunganishi kingine. Utoaji na kufuta ni mali ya yule anayemiliki utambulisho, kwa hiyo jedwali lililonakiliwa bila mchakato wa usawazishaji unaoungwa mkono ni mzunguko wa pili wa maisha ya vitambulisho na si kuingia mara moja. Hupatana kwa mara ya kwanza mtu anapoweka upya nenosiri mahali pamoja tu, na upatanisho huo ni wa kimya hadi akaunti iliyopo katika mifumo yote miwili itende tofauti katika kila mmoja.
Punguza akaunti inayosoma saraka kwa usomaji huo pekee, na uitenganishe na akaunti ambayo lango hutumia kwa usanidi wake yenyewe. Akaunti ya usimamizi inayoshirikiwa hubadilisha muundo wa kusoma-tu kuwa eneo kubwa zaidi la athari.
Akaunti inapaswa kuishi wapi
Baada ya suala la nyenzo kutatuliwa, zinabaki miundo miwili. Lango linaweza kumiliki hifadhi ndogo ya vitambulisho ambayo ni yenyewe pekee inayoisoma, au kuikabidhi huduma ya uthibitishaji inayosimama mbele ya saraka ya shirika.
Ya kwanza ni rahisi kufikiria na mbaya kwa mtumiaji, ambaye huishia na nenosiri la pili la kudumisha. Ya pili huhifadhi utambulisho mmoja na kuongeza utegemezi wa huduma ambayo sasa lazima iwe hai kabla ya mtu yeyote kuunganishwa. Hakuna ya hayo ni mbaya, lakini chaguo linapaswa kurekodiwa kando ya usanidi wa lango, kwa sababu vinginevyo mhandisi anayefuata atadhani lingine lilichaguliwa. Chochote unachochagua, amri mbili zilizo hapa chini ndizo zinazoonyesha hali ya sasa kabla ya kuibadilisha.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsUthibitishaji wa akaunti pia hautatui uidhinishaji. Uanachama wa kikundi, hali ya kifaa na ruhusa ya mtandao bado zinahitaji ramani ya wazi baada ya mtumiaji kuthibitisha utambulisho unaohitajika. Muunganisho unaothibitisha kikamilifu na hauidhinishi chochote ni matokeo ya sera, si hitilafu katika mbinu.