முதலில் EAP முறை: VPN எந்த கடவுச்சொல் ஹாஷைப் பயன்படுத்தலாம்
VPN ரகசியத்தைச் சரிபார்க்கிறது, வலை ஹாஷை அல்ல. முறையைப் படித்து, பின்னர் அதே கடவுச்சொற்கள் தொடர்ந்து செயல்படும் என்று உறுதியளிக்கும் முன் சேமிப்பில் என்ன இருக்கிறது என்பதைச் சரிபார்க்கவும்.
பல குழுக்களிடம் செயல்படும் வலை உள்நுழைவு ஒன்றும், அதே அட்டவணையிலிருந்து ஒவ்வொரு கடவுச்சொல்லையும் நிராகரிக்கும் VPN ஒன்றும் இருக்கும். வலைப் பயன்பாடு தானே கணக்கிட்ட ஹாஷை ஒப்பிடுகிறது, ஆனால் சுரங்கப்பாதை சேவையகம் சரிபார்க்கக்கூடிய வகையில் ஒரு ரகசியத்தின் உடைமையை வாடிக்கையாளரிடம் நிரூபிக்கச் சொல்கிறது. இவை சேமிக்கப்பட்ட பொருள்மீது வெவ்வேறு தேவைகள். இந்த இரண்டிற்கும் இடையிலான இடைவெளியில்தான் இத்தகைய திட்டங்களில் பெரும்பாலானவை நின்றுவிடுகின்றன.
முதலில் முறை, பிறகு திட்டமைப்பு
எந்த திட்டமைப்பையும் பார்ப்பதற்கு முன் தேர்ந்தெடுத்த முறை எந்த ஆதாரத்தைக் கோருகிறது என்று எழுதுங்கள். சவால்-பதில் முறைக்கு சேவையகம் எதிர்பார்க்கப்படும் பதிலைக் கணக்கிடக்கூடிய பொருள் தேவை, நடைமுறையில் இது கடவுச்சொல் அல்லது இணக்கமான வழிப்பெறு வடிவம். பாதுகாக்கப்பட்ட சுரங்கப்பாதைக்குள் கடவுச்சொல்லை எடுத்துச் செல்லும் முறைக்கு சரிபார்ப்பவரிடம் கடவுச்சொல்லே தேவை. வாடிக்கையாளர் உள்ளமைவுக்காக அல்ல, சரிபார்ப்பவரின் தேவைக்காக முறையின் ஆவணங்களைப் படியுங்கள், ஏனெனில் வாடிக்கையாளர் தேவைகள் பொதுவாக எளிதான பகுதி.
நவீன வலைக் கட்டமைப்பு உருவாக்கும் உப்பிட்ட ஹாஷ் இரண்டையும் தராது. ஒரு குறிப்பிட்ட ஒப்பீட்டை மட்டும் சரிபார்க்கிறது, அது வந்த ரகசியத்திற்குத் திரும்ப முடியாது.
சவால்-பதில் உப்பிட்ட ஹாஷைப் பயன்படுத்த முடியாது
MSCHAPv2 ஒரு சவால்-பதில் பரிமாற்றம், எனவே சேவையகம் கடவுச்சொல்லை ஒருபோதும் பெறாது, சேமிக்கப்பட்ட சரத்தை ஒப்பிடவும் முடியாது. ஏற்கனவே வைத்திருக்கும் பொருளிலிருந்து எதிர்பார்க்கப்படும் பதிலைப் பெற வேண்டும், அதனால்தான் இணக்கமான சேமிப்பு வடிவங்கள் இவ்வளவு குறுகியவை. ஒவ்வொரு பயனருக்கும் உப்புடன் கூடிய bcrypt அல்லது Argon2 மதிப்பு பரிமாற்றத்தை முழுமையாக விலக்கும் வகையில் ஒரு திசையில் உள்ளது. கீழேயுள்ள அட்டவணை முறையின் பெயரிலிருந்து அல்ல, சேமிப்பு வடிவத்திலிருந்து தொடங்குகிறது, ஏனெனில் பதிலைத் தீர்மானிப்பது சேமிப்பு வடிவமே.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
SQL செருகுநிரலின் ஆவணங்கள் strongSwan க்கு உள்ளமைவு மற்றும் சான்றுகளுக்கான சொந்தத் திட்டமைப்பை வரையறுக்கின்றன, மேலும் திட்டம் அந்தச் செருகுநிரலை இன்னும் பரிசோதனை எனக் குறிக்கிறது. அதில் எதுவும் ஒரு பயன்பாட்டின் பயனர் அட்டவணைக்கு ஏற்ப மாறவில்லை, சேமிக்கப்பட்ட மதிப்பை எந்த ஹாஷிங் திட்டம் உருவாக்கியது என்று ஊகிக்கவும் இல்லை. எனவே யதார்த்தமான விருப்பங்கள் நுழைவாயில் பயன்படுத்தக்கூடிய சேமிப்பகத்திற்கு இடம்பெயர்வது, அல்லது பரிமாற்றத்தைச் செய்யக்கூடிய தற்போதைய சேமிப்பகத்தின் முன் ஒரு அங்கீகாரச் சேவை. மற்றவை அனைத்தும் உள்ளே மறைந்த அனுமானம் கொண்ட இணைப்பி.
RADIUS வேலையை நகர்த்துகிறது, தேவையை அல்ல
EAP ஐ RADIUS சேவையகத்திற்கு ஒப்படைப்பது சரிபார்ப்பு எங்கு நடக்கிறது என்பதை மாற்றுகிறது, பொதுவாக தணிக்கைத் தடத்தை மேம்படுத்துகிறது. ஒரு திசை ஹாஷிலிருந்து கடவுச்சொல்லை மீட்டெடுக்காது, எனவே அங்கீகாரச் சேவைக்கு அது முடிக்கும் முறையுடன் இணக்கமான பொருள் இன்னும் தேவை. RADIUS பாதையை உருவாக்கி மறுமுனையில் அதே சுவரை எதிர்கொண்ட பிறகே குழுக்கள் இதை அறிகின்றன.
RADIUS சேவையகம் இணக்கமான சான்று கொண்ட அடைவைப் படிக்கக்கூடிய இடத்தில் வடிவமைப்பு செயல்படுகிறது, VPN நுழைவாயில் எளிமையாக இருக்கிறது. முடியாத இடத்தில் நேர்மையான பதில் மற்றொரு இணைப்பி அல்ல, பதிவில் மாற்றம். வழங்குதல் மற்றும் ரத்து செய்தல் அடையாளத்தை உடையவருக்கே உரியது, எனவே ஆதரிக்கப்பட்ட ஒத்திசைவு செயல்முறை இல்லாமல் நகலெடுக்கப்பட்ட அட்டவணை ஒற்றை உள்நுழைவு அல்ல, இரண்டாவது சான்று வாழ்க்கைச் சுழற்சி. யாராவது ஒரே இடத்தில் கடவுச்சொல்லை மீட்டமைக்கும்போது அது முதன்முதலில் விலகுகிறது, இரு அமைப்புகளிலும் உள்ள கணக்கு ஒவ்வொன்றிலும் வேறுவிதமாக நடந்துகொள்ளும் வரை அந்த விலகல் அமைதியாக இருக்கும்.
அடைவைப் படிக்கும் கணக்கை அந்தப் படிப்புக்கு மட்டுமே வரம்பிடுங்கள், நுழைவாயில் தன் சொந்த உள்ளமைவுக்குப் பயன்படுத்தும் கணக்கிலிருந்து தனியாக வையுங்கள். பகிரப்பட்ட நிர்வாகக் கணக்கு படிக்க-மட்டும் வடிவமைப்பை மிகவும் பரந்த தாக்க வரம்பாக மாற்றுகிறது.
கணக்கு எங்கே இருக்க வேண்டும்
பொருள் கேள்வி தீர்ந்த பிறகு இரண்டு கட்டமைப்புகள் எஞ்சுகின்றன. நுழைவாயில் தானே மட்டும் படிக்கும் சிறிய சான்று சேமிப்பகத்தை வைத்திருக்கலாம், அல்லது நிறுவன அடைவின் முன் நிற்கும் அங்கீகாரச் சேவைக்கு ஒப்படைக்கலாம்.
முதலாவது சிந்திக்க எளிதானது, பயனருக்கு மோசமானது, ஏனெனில் அவரிடம் பராமரிக்க இரண்டாவது கடவுச்சொல் எஞ்சும். இரண்டாவது ஒரே அடையாளத்தை வைத்துக்கொண்டு, இப்போது யாரும் இணைவதற்கு முன் இயங்க வேண்டிய சேவையின் மீது சார்பைச் சேர்க்கிறது. எதுவும் தவறல்ல, ஆனால் தேர்வு நுழைவாயில் உள்ளமைவுக்கு அருகில் பதிவு செய்யப்பட வேண்டும், இல்லையெனில் அடுத்த பொறியாளர் மற்றொன்று தேர்ந்தெடுக்கப்பட்டதாகக் கருதுவார். நீங்கள் எதைத் தேர்ந்தெடுத்தாலும், கீழேயுள்ள இரண்டு கட்டளைகளே மாற்றுவதற்கு முன் தற்போதைய நிலையைக் காட்டுபவை.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsகணக்கு அங்கீகாரம் அனுமதியையும் தீர்க்காது. குழு உறுப்பினர், சாதன நிலை மற்றும் பிணைய அனுமதி ஆகியவை பயனர் தேவையான அடையாளத்தை நிரூபித்த பிறகும் வெளிப்படையான பொருத்தம் தேவை. முழுமையாக அங்கீகரித்து எதையும் அனுமதிக்காத இணைப்பு கொள்கையின் விளைவு, முறையின் குறை அல்ல.