Chứng chỉ VPN trên Mac: vì sao ô chọn danh tính luôn trống

Bạn đã cài chứng chỉ, nó hiện trong Keychain Access với tên dễ nhận, vậy mà ô chọn danh tính của ứng dụng VPN vẫn trống. Ứng dụng không tìm chứng chỉ. Nó tìm danh tính: một chứng chỉ đi kèm khóa riêng có thể chứng minh quyền sở hữu, được lưu ở nơi ứng dụng được phép đọc.

Thứ ứng dụng yêu cầu là danh tính

Khung bảo mật của Apple coi chứng chỉ và danh tính là hai đối tượng khác nhau. Chứng chỉ là dữ liệu công khai. Danh tính là chứng chỉ đó cùng khóa riêng của nó, và chỉ danh tính mới hoàn tất được thử thách. Ngược lại, chứng chỉ CA tin cậy cho phép ứng dụng đánh giá nhà phát hành; nó không biến máy thành người giữ thông tin xác thực ứng dụng đã được cấp.

Vì thế, nhập tệp .cer không bao giờ tạo ra danh tính ứng dụng dùng được. Tệp chỉ chứa tài liệu công khai, và dù đổi tên hay tin cậy thế nào, nó cũng không thành một cặp khóa.

Ba lý do khiến ô chọn trống

Lý do thứ nhất là thiếu khóa riêng, nghĩa là quá trình đăng ký hoặc nhập không cung cấp khóa nào. Lý do thứ hai là kho lưu trữ mà ứng dụng không tra cứu: hồ sơ phạm vi người dùng tìm trong chùm khóa của người dùng, và một mục đặt trong kho hệ thống có thể không hiện ra với nó. Lý do thứ ba là mục đích hoặc chính sách không khớp, khi chứng chỉ có tồn tại nhưng không hợp lệ để xác thực ứng dụng theo quy tắc triển khai.

security find-identity -v -p ssl-client

Lệnh này liệt kê các danh tính mà hệ thống coi là hợp lệ để xác thực ứng dụng. Nếu số lượng bằng không, vấn đề nằm phía trước ứng dụng VPN và không bản sửa hồ sơ nào khắc phục được. Nếu danh tính hiện ở đây nhưng không hiện trong ứng dụng, khác biệt nằm ở kho hoặc phạm vi của ứng dụng.

Khóa riêng sống ở đâu và ai được dùng nó

Khi bạn nhập danh tính qua Keychain Access, hộp thoại nhập sẽ đề nghị một chùm khóa đích. Chùm khóa nào đúng phụ thuộc vào ứng dụng và việc hồ sơ có phạm vi người dùng hay thiết bị. Câu trả lời cũ khuyên dùng chùm khóa hệ thống không phải quy tắc phổ quát, và sao chép mục giữa các kho không phải cách sửa.

System Roots là một tập hợp tin cậy. Đặt chứng chỉ ở đó thay đổi việc hệ thống tin nhà phát hành nào; nó không tạo khóa riêng và không phải kho danh tính. Di chuyển những chứng chỉ không liên quan để lấp đầy ô chọn là kiểu sửa khiến máy bị mở rộng tập tin cậy vĩnh viễn.

Quyền truy cập khóa riêng là một kiểm soát riêng. Cấp cho mọi ứng dụng quyền dùng khóa sẽ giải quyết vấn đề chọn của một ứng dụng nhưng trao khả năng đó cho mọi thứ khác trên máy. Hãy cấp cho ứng dụng cần nó, và kiểm tra xem khóa có được phần cứng hỗ trợ hay được đánh dấu không thể xuất; nếu vậy, phải dùng nhà cung cấp được hỗ trợ thay vì bản sao đã xuất.

Hồ sơ trỏ tới thông tin xác thực như thế nào

Trong cấu hình IKEv2 gốc được quản lý, hồ sơ tham chiếu tới tải trọng thông tin xác thực qua PayloadCertificateUUID. Điều quan trọng là danh tính được tham chiếu và cách nó được cung cấp; sửa tên hiển thị trong hồ sơ không sửa được tham chiếu trỏ tới tải trọng sai hoặc tới tải trọng chưa bao giờ cung cấp khóa.

Nhà cung cấp bên thứ ba có thể dùng cơ chế chọn hoàn toàn khác, như kho riêng hoặc lời nhắc hệ thống. Hãy đọc tài liệu của nhà cung cấp đó thay vì chuyển giao giả định của hồ sơ gốc, và xác minh tham chiếu trong hồ sơ thực sự được cài, không phải bản nháp trong bảng điều khiển quản lý.

Chọn và chấp nhận là hai cột mốc riêng

Ô chọn đầy nghĩa là ứng dụng tìm và dùng được danh tính. Điều đó không nói gì về việc cổng có chấp nhận hay không. Máy chủ vẫn kiểm tra nhà phát hành, khoảng hiệu lực, trạng thái thu hồi và việc ánh xạ thông tin xác thực đó tới một tài khoản.

Hãy kiểm tra cả hai giai đoạn một cách rõ ràng, theo thứ tự đó. Xác nhận danh tính được đề nghị, kết nối, rồi yêu cầu chủ cổng xác nhận thông tin xác thực nào đã được trình bày và quy tắc ánh xạ nào đã dùng nó. Nếu ứng dụng đề nghị danh tính mà máy chủ từ chối, phần việc còn lại nằm ở phía máy chủ. Cài lại chứng chỉ trên Mac sẽ không thay đổi kết quả đó, dù lặp lại bao nhiêu lần.