இரண்டு உள்நுழைவு சரிபார்ப்புகள் இரண்டு காரணிகள் அல்ல: VPN மற்றும் RADIUS

VPN நுழைவாயிலுக்கு இரண்டாவது அங்கீகார பின்தளத்தைச் சேர்ப்பது இரண்டாவது காரணியைச் சேர்ப்பது போலத் தோன்றுகிறது. பொதுவாக அது இரண்டாவது சரிபார்ப்பைச் சேர்க்கிறது, அது வேறு தோல்வி முறைகளைக் கொண்ட வேறு பொருள். இரண்டும் வெற்றிபெற வேண்டுமா, ஒவ்வொன்றும் என்ன நிரூபிக்கிறது, ஒன்று கிடைக்காதபோது என்ன நடக்கிறது என்பது மூன்று தனித்தனி முடிவுகள். தவறு செய்தால் நுழைவாயில் செயல்விளக்கத்தில் கடினமாகவும் செயலிழப்பின் போது பலவீனமாகவும் இருக்கும்.

இரண்டாவது பின்தளம் உண்மையில் என்ன நிரூபிக்கிறது

உள்ளூர் கணக்குத் தேடல் ஒரு பெயர் தரவுத்தளத்தில் உள்ளது என்றும் கடவுச்சொல் அதற்குப் பொருந்தியது என்றும் நிரூபிக்கிறது. RADIUS பரிமாற்றம் RADIUS சேவையகம் பெற்ற பண்புகளுக்கு Access-Accept திரும்பத் தந்தது என்று நிரூபிக்கிறது. இரண்டு கூற்றுகளில் எதுவும் காரணி வகையைக் குறிப்பிடவில்லை, ஏனெனில் இரண்டும் அறிவைச் சரிபார்க்கின்றன. மேலும் NIST இன் எண்ம அடையாள வழிகாட்டி வெவ்வேறு காரணி வகைகளையும் அவற்றின் அங்கீகரிப்பான்களையும் எண்ணுகிறது, சேவையகங்கள் அல்லது தூண்டுதல்களை அல்ல.

இரண்டு அமைப்புகளும் பங்கேற்கும் செல்லுபடியாகும் வடிவமைப்பு உள்ளது. மைய சேவை நபரை அங்கீகரிக்க முடியும், அதே நேரத்தில் நுழைவாயில் அந்தக் கணக்கிற்கு இந்தச் சுரங்கப்பாதைக்கான உரிமை உள்ளதா என்று தனித்துப் பார்க்கிறது. அது அங்கீகாரத்திற்கு அருகிலான அனுமதி, அதை இரண்டு காரணிகள் என்பது கொள்கைச் சரிபார்ப்பை உடைமைச் சான்றுடன் கலக்கிறது.

ஒன்றைச் சரிபார்க்கும் ஒன்றின் முன் நிற்கும்போது RADIUS உண்மையான இரண்டாவது காரணியைச் சுமக்க முடியும், எடுத்துக்காட்டாக புஷ் அனுமதி அல்லது வன்பொருள் டோக்கன். பயனர் எந்த அங்கீகரிப்பான்களைக் காட்டினார் என்பதை உறை சொல்லவில்லை, எனவே நுழைவாயிலின் லேபிளை அல்ல, பின்தளக் கொள்கையைப் படியுங்கள்.

AND, OR மற்றும் ஃபால்பேக் வெவ்வேறு தயாரிப்புகள்

செயலாக்கங்களை ஒப்பிடும் முன் உங்கள் தேவையில் இரண்டும் என்பதன் பொருள் என்ன என்று முடிவு செய்யுங்கள். AND கொள்கை பெயரிடப்பட்ட ஒவ்வொரு சரிபார்ப்பும் கடக்க வேண்டும் என்று கோருகிறது, OR கொள்கை வெற்றிபெறுவதை ஏற்றுக்கொள்கிறது, ஃபால்பேக் அறிவிக்கப்பட்ட தோல்வி நிபந்தனைகளில் மட்டுமே இரண்டாவதை முயற்சிக்கிறது. இந்த மூன்றும் செயலிழப்பின் போது எதிர்மாறாக நடந்துகொள்கின்றன, பொதுவாக அவற்றில் ஒன்றே மறுஆய்வின் நோக்கமாக இருக்கும்.

கட்டமைப்புத் திரையில் இரண்டு பின்தளப் பதிவுகளைச் சேர்ப்பது தயாரிப்பு எந்தக் கொள்கையைச் செயல்படுத்துகிறது என்பதை வெளிப்படுத்தாது. சில நுழைவாயில்கள் செருகுநிரல்களை வரிசையாக இணைத்து முதல் மறுப்பில் நிற்கின்றன, அது ஒவ்வொரு செருகுநிரலும் கட்டாயமாக இருக்கும்போது மட்டுமே AND. மற்றவை உள்ளூர் கணக்கை மேலெழுதல் என்று கருதுகின்றன, அது மையச் செயலிழப்பைத் தவிர்ப்பாக மாற்றுகிறது. நம்பகமான பதில் ஒவ்வொரு பாதைக்கும் நீங்கள் பயன்படுத்தும் build-க்கு எதிராக இயக்கப்படும் ஆவணப்படுத்தப்பட்ட எதிர்மறைச் சோதனை.

ஃபால்பேக் அதிக சந்தேகத்திற்குரியது, ஏனெனில் ஏதாவது உடைந்தால் வேலையைத் தொடர அது இருக்கிறது. RADIUS அணுக முடியாத போதெல்லாம் உள்ளூர் கடவுச்சொல்லை ஏற்கும் ஃபால்பேக் மையக் கொள்கையை இரண்டாவது, பலவீனமான கதவாக மாற்றியுள்ளது.

OpenVPN இன் இரட்டைச் சரிபார்ப்பு ஒரு உறுதியான நிகழ்வு

சமூக OpenVPN 2.6 இரண்டும் இயக்கப்பட்டால் வாடிக்கையாளர் சான்றிதழும் கட்டமைக்கப்பட்ட auth-user-pass-verify ஸ்கிரிப்டும் இரண்டையும் கோருகிறது. அது சான்றிதழ் சரிபார்ப்புக்கும் உள்நுழைவு விவர ஸ்கிரிப்டுக்கும் இடையிலான ஆவணப்படுத்தப்பட்ட AND, அது உண்மையில் இரண்டு சரிபார்ப்புகள். இருப்பினும் அது தானாகவே இரண்டு வகை காரணிகள் அல்ல, ஏனெனில் ஸ்கிரிப்ட் கடவுச்சொல்லை மட்டும் சரிபார்க்கக்கூடும்.

கலவை தொடர்பு கேள்வியையும் திறந்து விடுகிறது. சான்றிதழ் பொதுவாக ஒரு சாதனத்தை அடையாளம் காட்டுகிறது, அதே நேரத்தில் உள்நுழைவு விவரங்கள் ஒரு நபரை, இயல்புநிலை ஓட்டத்தில் இரண்டும் ஒரே முதன்மை நபரைக் குறிக்க வேண்டும் என்று எதுவும் கோரவில்லை. எந்த ஜோடிகள் அனுமதிக்கப்படுகின்றன என்பதை முடிவு செய்து, பின்னர் அந்த வரைபடத்தைச் சரிபார்ப்பு ஸ்கிரிப்டுக்குள் அல்லது பிற்கால அனுமதி படியில் செயல்படுத்துங்கள்.

சான்றிதழ்-மட்டும் பயன்முறை ஒரு சரிபார்ப்பு, PIN ஆல் பாதுகாக்கப்பட்டிருக்கலாம் அல்லது இல்லாமல் இருக்கலாம் என்ற விசையால் ஆதரிக்கப்படுகிறது. PIN அதே உள்நுழைவு விவரத்தை அறிவு மற்றும் உடைமையாக மாற்றுவது விசையை அது இல்லாமல் பயன்படுத்த முடியாத போது மட்டுமே. அந்த விசையை வட்டில் மறையாக்காமல் விடுவது இரண்டாம் பகுதியைக் கோப்பு அனுமதியாகக் குறைக்கிறது.

சாதன உற்பத்தியாளர்கள் தங்கள் சொந்த குழாய்களை உருவாக்குகிறார்கள், பெரும்பாலும் வலைப் பணியகத்தின் பின் PAM தொகுதி அல்லது RADIUS செருகுநிரல். சமூக நடத்தை இரட்டைச் சரிபார்ப்புகள் எப்படி இருக்கின்றன என்பதற்கான குறிப்பு, சாதனம் அவற்றை எவ்வாறு இணைக்கிறது என்பதற்கான விளக்கம் அல்ல.

உங்கள் நுழைவாயிலில் கலவையைச் சரிபார்க்கவும்

பணியகச் சுருக்கத்தை நம்பும் முன் கட்டமைப்பைப் படியுங்கள். கொள்கையைத் தீர்மானிக்கும் வரிகள் சான்றிதழ் பயன்முறை, உள்நுழைவு விவர ஸ்கிரிப்ட் மற்றும் செருகுநிரல் வரிசை.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep சான்றிதழ் தேவையா மற்றும் அதன் பின் எந்த ஸ்கிரிப்ட் இயங்குகிறது என்பதைக் காட்டுகிறது, வரிசை பெயர்கள் குறிப்பதை விட முக்கியம். சான்றிதழ் டம்ப் நுழைவாயில் காணும் அடையாளத்தைத் தருகிறது, தொடர்பு வரைபடத்திற்குத் தேவையான CN மற்றும் வரிசை எண் உட்பட. RADIUS சோதனை எதிர்மறை நிகழ்வு: தவறான கடவுச்சொல் Access-Reject, சரியானது Access-Accept தர வேண்டும். நிராகரிக்கப்பட்ட உள்நுழைவு விவரம் இன்னும் அமர்வைத் தந்தால், ஸ்கிரிப்ட் அங்கீகாரப் பாதையில் இல்லவே இல்லை.

பின்னர் ஆய்வக நிகழ்வில் செயலிழப்பு நிலையை இயக்கவும்: தேவையான பின்தளத்தை நிறுத்தி செல்லுபடியாகும் உள்நுழைவு விவரங்களுடன் இணைக்கவும். எதிர்பார்க்கப்படும் முடிவு மறுப்பு, மற்ற எதுவும் யாரும் ஆவணப்படுத்தாத ஃபால்பேக் கொள்கை.

தேவையை எதிர்மறை நிகழ்வுகளாக எழுதுங்கள்

பயன்படுத்தக்கூடிய தேவை சான்றுகள், அவற்றை முன்வைக்க அனுமதிக்கப்பட்ட கணக்குகள் மற்றும் சரிபார்ப்பாளர் இல்லாதபோது முடிவு ஆகியவற்றைப் பெயரிடுகிறது. சாதன அடையாளத்திற்கும் நபர் அடையாளத்திற்கும் இடையேயான அனுமதிக்கப்பட்ட இணைப்பையும் அது கூறுகிறது. அது கொள்முதல் ஆணையின் தயாரிப்புப் பெயர்களை விடத் துல்லியமானது, சோதிக்கக்கூடியது.

ஏற்பில் நான்கு மறுப்புகள் இருக்க வேண்டும்: தகுதியற்ற உள்ளூர் கணக்கு, காணாமல் போன கட்டாயச் சான்று, செல்லாத இரண்டாவது காரணி மற்றும் அணுக முடியாத கட்டாயப் பின்தளம். ஒவ்வொரு மறுப்பிற்கும் அதை மற்றவற்றிலிருந்து வேறுபடுத்தும் பதிவு வரி தேவை, இல்லையெனில் அடுத்த சம்பவம் ஊகத்துடன் தொடங்குகிறது. எந்தக் கூறு எந்த முடிவை எடுத்தது என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் நுழைவாயில், RADIUS சேவையகம் மற்றும் அடைவு ஒன்றையொன்று குற்றம் சொல்லும்.

எந்தச் செருகுநிரல் அல்லது ஃபர்ம்வேர் மாற்றத்திற்குப் பிறகும் நான்கு மறுப்புகளை மீண்டும் இயக்கவும். அவை மலிவானவை, அவை பாதுகாக்கும் கொள்கையே தாக்குபவர் முதலில் ஆராயும் பகுதி.