டோக்கனுக்கு OpenConnect-க்கு எந்த PKCS#11 URI தேவை?

சரியான விசை ஏற்கனவே உள்ள ஸ்மார்ட் கார்டுக்கும் அதில் எந்தப் பொருளைப் பயன்படுத்த வேண்டும் என்று சொல்ல வேண்டும். அந்தச் சூழலில் OpenConnect நகலெடுத்த .key கோப்பை விரும்பவில்லை; சான்றிதழைப் பெயரிடும் PKCS#11 URI-ஐ விரும்புகிறது, தானியங்கிச் சேர்க்கை வேலையை முடிக்க முடியாதபோது அதன் அருகில் உள்ள தனிச் சாவியையும் பெயரிட வேண்டும். சங்கடமான பகுதி என்னவென்றால், தொடரியல் அடிப்படையில் செல்லுபடியாகும் URI எதையும் நிரூபிக்காது. கார்டு திறக்கத் தயாராக உள்ள பொருளை மட்டுமல்ல, நுழைவாயில் ஏற்கனவே நம்பும் பதிவைப் பெயரிட வேண்டும்.

ஏற்றுமதி செய்த விசைக்குப் பதிலாக வாடிக்கையாளர் என்ன விரும்புகிறார்

-c விருப்பம் வழக்கமாகக் கோப்புப் பாதையை எடுக்கிறது, ஆனால் மதிப்பு PKCS#11 URI ஆகப் பகுக்கப்படும்போது, OpenConnect அதை வட்டில் உள்ள கோப்பாக அல்ல, டோக்கனுக்குள் உள்ள பொருளுக்கான குறிப்பாகக் கருதுகிறது. -k விருப்பம் தனிச் சாவிக்கு அதேபோல் நடந்துகொள்கிறது. எதுவும் ஏற்றுமதி ஆகவில்லை, சாவி கார்டு வழங்கும் பாதுகாப்பை ஒருபோதும் விடாது. டோக்கன் தொகுதி, சான்றிதழ்க் கிடங்கு, நுழைவாயில் பதிவு ஆகியவை ஒப்புக்கொள்ளும் பெயரே வாடிக்கையாளருக்கு உங்களிடம் தேவை.

பெரும்பாலான முயற்சிகள் தடைபடுவது இந்தக் கடைசி கட்டுப்பாட்டில்தான். URI முழுமையாக நன்கு அமைந்திருந்தும் நுழைவாயில் மறுக்கும் சான்றிதழைத் தேர்ந்தெடுக்கலாம், ஏனெனில் செல்லுபடியாகும் தன்மையும் பொருத்தமும் தனித்தனிக் கேள்விகள். செய்யத் தகுந்த சரிபார்ப்பு பதிவேட்டுக் குறிப்புடன் ஒப்பிடுவது, தற்செயலாகத் திறக்கும் முதல் பொருளைத் தேடுவது அல்ல.

இரண்டு URI, இரண்டு வெவ்வேறு வேலைகள்

சான்றிதழின் URI நீங்கள் எந்த அடையாளத்தைக் கோருகிறீர்கள் என்று பதிலளிக்கிறது. பொது விசையும் பொருள் வரியும் VPN நிர்வாகி வழங்கிய கணக்கு அல்லது சாதனச் சுயவிவரத்துடன் பொருந்தும் சான்றிதழ்ப் பொருளை அது சுட்டுகிறது. அதே சான்றிதழ் வழக்கமாக அருகில் சேமிக்கப்பட்ட தனிச் சாவிப் பொருளுடன் வரும், TLS கைக்குலுக்கலுக்கு உண்மையில் தேவை அந்த இணைதான்.

சாவியின் URI, OpenConnect ஊகிக்க முடியாதபோது பொருந்தும் தனிமப் பொருள் எங்கே உள்ளது என்று பதிலளிக்கிறது. -c மட்டும் அமைக்கப்பட்டால், வாடிக்கையாளர் சான்றிதழின் பண்புகளிலிருந்து சாவித் தேடலை உருவாக்குகிறது; -k வழங்குவது ஊகத்திற்குப் பதிலாக வெளிப்படையான பொருள் குறிப்பை வைக்கிறது. டோக்கனின் PIN மூன்றாவது, தொடர்பில்லாத உள்ளீடு: அது செயலுக்குக் கார்டைத் திறக்கிறது, ஒருபோதும் ஒரு பொருளை அடையாளம் காட்டாது.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

அந்த மேற்கோள் சரத்தில் உள்ள அனைத்தும் தரவு. அரைப்புள்ளிகள் URI பண்புகளைப் பிரிக்கின்றன, சதவீத-தப்பித்தல்கள் பகுப்பாய்வை உடைக்கும் எழுத்துகளைக் குறியாக்குகின்றன, எனவே முழு வாதமும் ஷெல்லிலிருந்து பாதிப்பின்றிக் கடக்க வேண்டும்.

உங்கள் பதிவுடன் பொருந்தும் URI-ஐக் கண்டறிதல்

GnuTLS உடன் p11tool வருகிறது, இது தற்போதைய பயனர் p11-kit வழியாக உண்மையில் எதை அடைய முடியும் என்பதைப் பட்டியலிடுகிறது. p11tool --list-tokens உடன் தொடங்கி, பின்னர் உங்களுக்கு முக்கியமான டோக்கனில் சான்றிதழ்ப் பொருட்களைப் பட்டியலிடுங்கள். பொருட்கள் PIN-க்குப் பிறகே தோன்றினால் --login சேர்க்கவும், முதலில் தோன்றுவதைத் தேர்ந்தெடுப்பதற்குப் பதிலாக பொருளையும் வழங்குநரையும் பதிவேட்டுக் குறிப்புடன் ஒப்பிடுங்கள்.

டோக்கன் முற்றிலும் தெரியவில்லை என்றால், சிக்கல் OpenConnect-க்குக் கீழே உள்ளது: p11-kit-இல் அந்த இடைநிலை மென்பொருளுக்குப் பதிவு செய்யப்பட்ட தொகுதி இல்லை, அல்லது தொகுதி வேறு கணக்குக்குப் பதிவு செய்யப்பட்டுள்ளது. அமைப்பு அளவிலான பதிவு /etc/pkcs11/modules-இன் கீழ் உள்ளது, பயனர் வாரியான கோப்பகம் அமைப்பு நகலைத் தொடாமல் அதையே வைத்திருக்க முடியும். தொகுதிக் கோப்பில் உள்ள வழங்குநர் பாதை படிப்பான் மென்பொருள் உண்மையில் நிறுவிய நூலகத்தைச் சுட்டுகிறதா என்று சரிபார்க்கவும்.

பட்டியலிலிருந்து URI-ஐ நகலெடுக்கும்போது அதைச் சுற்றியுள்ள மேற்கோள் குறிகளை வைத்திருங்கள். மேற்கோள் இல்லாத அரைப்புள்ளிகள் வாதத்தை முதல் பண்பில் துண்டிக்கின்றன, வாடிக்கையாளர் பின்னர் கண்டுபிடிக்க முடியாத பொருளைப் பற்றித் தெரிவிக்கிறார்.

தானியங்கிச் சாவித் தேடல் விட்டுக்கொடுக்கும்போது

OpenConnect சான்றிதழின் URI-இலிருந்து சாவித் தேடலைப் பெற முடியும், ஆனால் அது செய்யும் துல்லியமான பொருத்தம் பதிப்பைப் பொறுத்தது, பொருள் வகை மற்றும் லேபிள் கையாளுதல் காலப்போக்கில் மாறியுள்ளது. வேலை செய்யும் வரை URI-ஐச் சுருக்கவும் என்ற ஆலோசனை பழைய தவிர்ப்பு வழியை விவரிக்கிறது, தேவையை அல்ல. பெறப்பட்ட தேடல் தோல்வியடைந்தால், சான்றிதழின் URI-ஐ மேலும் தெளிவற்றதாக மாற்றுவதற்குப் பதிலாக -k உடன் சாவியை வெளிப்படையாகப் பெயரிடுங்கள்.

வாடிக்கையாளரைக் குறை கூறும் முன் சாவி உள்ளது என்பதையும் p11tool --list-keys மூலம் தெரிகிறது என்பதையும் உறுதிப்படுத்துங்கள். பின்னர் பொருள் கையொப்பம் அல்லது மறைகுறியாக்கத்திற்குப் பயன்படுத்தக்கூடியதாகக் குறிக்கப்பட்டுள்ளதா என்று சரிபார்க்கவும், ஏனெனில் தவறான பண்புகளுடன் உருவாக்கப்பட்ட சாவி URI எவ்வளவு சரியாக இருந்தாலும் கைக்குலுக்கலை முடிக்க முடியாது. OpenVPN சுயவிவரத்தின் தொடர்வரிசைப்படுத்தப்பட்ட pkcs11-id மதிப்பை OpenConnect விருப்பத்திற்கு மாற்ற வேண்டாம்; ஒரே கார்டுடன் பேசும்போதும் இரு வாடிக்கையாளர்களும் வெவ்வேறு அடையாள வடிவங்களைப் பயன்படுத்துகின்றனர்.

URI தீர்ந்து PIN ஏற்கப்பட்டும் அங்கீகாரம் இன்னும் தோல்வியடைந்தால், URI-ஐச் சரிசெய்வதை நிறுத்துங்கள். நுழைவாயிலின் சொந்த பிழையைப் படியுங்கள், ஏனெனில் அடுத்த தோல்வி டோக்கனுக்கு மேலே உள்ளது.

URI சிக்கல்களைப் போல மட்டும் தோன்றும் தோல்விகள்

வேறு நெறிமுறையைப் பேசும் நுழைவாயில், உங்கள் URI சரியோ தவறோ, அதேபோல் தோல்வியடையும். OpenConnect பழைய vpnc வாடிக்கையாளரை ஒரு காரணத்திற்காக மாற்றியது, கார்டு ஆதரவு பொருந்தாத நுழைவாயில் நெறிமுறையைப் பொருத்தமாக்காது. பொருளின் பண்புகளில் இன்னும் ஒரு மணி நேரம் செலவிடும் முன் சேவையகத்தின் எதிர்பார்க்கப்படும் நெறிமுறையையும் அங்கீகார ஏற்பாட்டையும் உறுதிப்படுத்துங்கள்.

சேவையக அடையாளச் சரிபார்ப்பும் தனி அடுக்கு. வாடிக்கையாளர் நுழைவாயிலின் சான்றிதழைத் தன் நம்பிக்கைக் கிடங்குடன் சரிபார்க்கிறார், அந்தச் சரிபார்ப்பு கார்டு தன் பங்கை முடித்த பிறகே இயங்குகிறது. படிப்பான் அனுமதிகளும் நிறுத்தப்பட்ட pcscd சேவையும் ஒரே வெளிப்புற அறிகுறியை உருவாக்குகின்றன, படிக்க முடியாத டோக்கன், ஆனால் தீர்வு மிகவும் எளிது.

பொருளிலிருந்து வெளியே வேலை செய்யுங்கள்: p11tool டோக்கனைப் பார்க்கிறதா, சான்றிதழையும் சாவியையும் பார்க்கிறதா, OpenConnect URI-ஐ ஏற்கிறதா, பிறகு மட்டுமே நுழைவாயில் அடையாளத்தை ஏற்கிறதா என்று கேளுங்கள். ஒவ்வொரு படிக்கும் அதன் சொந்தப் பிழைச் செய்தி உள்ளது, ஒவ்வொன்றும் அடுத்ததை விடச் சோதிக்க மலிவானது.