Vì sao OpenVPN vẫn hỏi tệp khóa riêng khi đã có token

Bạn cắm token, công cụ của chính nhà cung cấp nhìn thấy nó, nhưng ứng dụng VPN vẫn hỏi tệp khóa riêng. Lời nhắc đó không phải bằng chứng rằng token không được hỗ trợ. Thông thường nó có nghĩa là hồ sơ chưa bao giờ bảo ứng dụng dùng token, nên ứng dụng quay lại các đầu vào chứng chỉ và khóa mà nó mong đợi mặc định.

Hai giá trị riêng biệt phải đúng trước khi sự quay lại đó dừng: nhà cung cấp công bố token và danh tính của chứng chỉ bên trong nó. Chúng được cung cấp qua các tùy chọn khác nhau và rất dễ nhầm lẫn.

Ứng dụng hỏi tệp vì hồ sơ quy định như vậy

Hồ sơ mặc định mong đợi một tệp chứng chỉ và một tệp khóa riêng, hoặc một gói PKCS#12 duy nhất. Khi thiếu các đầu vào đó, ứng dụng không có gì để nạp và xử sự gần như khi thiếu tệp, vì thế triệu chứng được đọc thành đường dẫn hỏng chứ không phải cơ chế thiếu. Đường dẫn PKCS#11 thay thế các đầu vào đó thay vì bổ sung, nên hồ sơ vẫn nêu tệp khóa sẽ tiếp tục dùng tệp. Hãy chủ động gỡ các đầu vào tệp và để token cung cấp cả hai nửa.

Tùy chọn nhà cung cấp nêu tên một thư viện phần mềm trung gian, không phải thiết bị và không phải chứng chỉ. Việc ứng dụng đã đóng gói có nạp được thư viện đó hay không phụ thuộc vào cách nó được biên dịch, bao gồm hỗ trợ p11-kit tùy chọn mà một số bản dựng bật và những bản khác bỏ qua. Một hướng dẫn chung không thể cho bạn biết gói của bạn có cách bố trí nào.

Danh tính đã tuần tự hóa là một giá trị khác

Danh tính của chứng chỉ là một chuỗi tuần tự hóa dài do quá trình phát hiện tạo ra, và nó không phải đường dẫn thư viện, không phải PIN của token và không phải tên tài khoản VPN. Nó thường chứa các ký tự cần dấu nháy, và một giá trị không có dấu nháy có thể bị cắt cụt hoặc đọc sai mà không có lỗi rõ ràng. Hãy dùng tùy chọn phát hiện danh tính của chính ứng dụng để liệt kê những gì token công bố, rồi sao chép chính xác mục mong muốn. Chọn đối tượng đầu tiên trong danh sách là cách một thiết bị cuối cùng trình bày sai chứng chỉ.

Kết quả phát hiện cũng trả lời câu hỏi trước đó: token có hiển thị qua nhà cung cấp đó hay không. Nếu nó không liệt kê gì, vấn đề nằm phía trên ứng dụng VPN và thuộc về phần mềm trung gian.

Tiến trình thực hiện kết nối phải tiếp cận được token

Một thao tác token chạy được trong phiên máy tính của bạn không chứng minh gì về một dịch vụ hệ thống. Dịch vụ có thể chạy dưới người dùng khác, trong không gian tên gắn kết khác, với đường dẫn mô-đun bỏ qua thư viện của nhà cung cấp, hoặc không có quyền mở nút thiết bị. Hãy xác định tiến trình nào thực sự giữ kết nối và kiểm tra từ ngữ cảnh đó.

Việc xử lý PIN xứng đáng có quyết định riêng. Bản tham chiếu cung cấp bộ nhớ đệm PIN và đường xác thực được bảo vệ, và cả hai tồn tại để người vận hành chọn một quy trình thay vì tự phát minh. Đừng biến một yêu cầu không cần giám sát thành PIN dạng văn bản thuần trong hồ sơ dùng chung, vì điều đó đánh đổi sự bảo vệ của token lấy sự tiện lợi. Ở nơi token cấm xuất khóa, việc ký diễn ra trên thiết bị và PIN là bí mật cục bộ duy nhất. Hãy đối xử với nó bằng sự cẩn trọng mà điều đó hàm ý.

Những gì token không thay thế

Token xác thực ứng dụng theo chính sách đã triển khai và không thay thế các kiểm tra của ứng dụng với máy chủ. Một chứng chỉ được chọn thành công không phải là quyền chấp nhận một chứng chỉ cổng không mong đợi, và hai lần xác minh bảo vệ hai hướng ngược nhau.

Việc đăng ký vẫn phải diễn ra tại nhà phát hành, và cổng vẫn phải cấp quyền cho danh tính.

Để chấp nhận, hãy tách các giai đoạn: nhà cung cấp nạp, chứng chỉ dự kiến được tìm thấy, khóa riêng được dùng với sự cho phép cục bộ, VPN xác thực và thao tác trên tài nguyên thành công. Hãy dừng ở giai đoạn đầu tiên thất bại thay vì xoay vòng mật khẩu và cài lại chồng mã hóa.

Ghi lại phiên bản, quyền sở hữu mô-đun, định danh công khai đã chọn và các lỗi đã làm sạch, và để PIN cùng các gói thông tin xác thực ra ngoài bản ghi đó.