Kọ́kọ́ ọ̀nà EAP: irú hash ọ̀rọ̀ ìpamọ́ wo ni VPN lè lò
VPN ń ṣàyẹ̀wò àṣírí náà, kì í ṣe hash wẹ́bù. Ka ọ̀nà náà, kí o sì yẹ̀ wo ohun tí ìpamọ́ ní kí o tó ṣèlérí pé àwọn ọ̀rọ̀ ìpamọ́ kan náà yóò máa ṣiṣẹ́.
Ọ̀pọ̀ ẹgbẹ́ ni wọ́n ní ìwọlé wẹ́bù tí ń ṣiṣẹ́, àti VPN tí ń kọ gbogbo ọ̀rọ̀ ìpamọ́ tí ó wá láti inú tábìlì kan náà. Ohun èlò wẹ́bù náà ń fi hash tí òun fúnra rẹ̀ ṣe ìṣirò wé, nígbà tí ọ̀nà abẹ́lẹ̀ ń béèrè lọ́wọ́ ẹ̀rọ ìbánisọ̀rọ̀ pé kí ó fi ẹ̀rí hàn pé òun ní àṣírí kan, ní ọ̀nà tí olùpèsè gbọ́dọ̀ lè yẹ̀wò. Ìwọ̀nyí jẹ́ ìbéèrè ọ̀tọ̀ọ̀tọ̀ lórí ohun tí a ti pamọ́. Ọ̀pọ̀ jùlọ àwọn iṣẹ́ bí èyí ni wọ́n dúró sí àárín àlàfo yìí.
Ka ọ̀nà náà, kí o tó wo ètò náà
Kọ ohun tí ọ̀nà tí o yàn béèrè fún ẹ̀rí kí o tó wo ètò kankan. Ọ̀nà ìpèníjà-ìdáhùn nílò ohun èlò tí olùpèsè lè fi ṣe ìṣirò ìdáhùn tí a retí, tí ó túmọ̀ sí ọ̀rọ̀ ìpamọ́ náà fúnra rẹ̀ tàbí ìrísí tí ó bá a mu. Ọ̀nà tí ń gbé ọ̀rọ̀ ìpamọ́ sínú ọ̀nà abẹ́lẹ̀ tí a dáàbò bò nílò ọ̀rọ̀ ìpamọ́ náà fúnra rẹ̀ ní ọ̀dọ̀ olùyẹ̀wò. Ka ìwé ọ̀nà náà fún ìbéèrè olùyẹ̀wò, kì í ṣe fún ètò ẹ̀rọ ìbánisọ̀rọ̀, nítorí àwọn ìbéèrè ẹ̀rọ ìbánisọ̀rọ̀ sábà jẹ́ apá tí ó rọrùn.
Hash oníyọ̀ tí àrà ẹ̀rọ wẹ́bù òde òní ń ṣe kò fúnni ní èyíkéyìí nínú àwọn méjèèjì. Ó ń yẹ̀wò ìfiwéra kan pàtó, a kò sì lè dá a padà sí àṣírí tí ó ti wá.
Ìpèníjà-ìdáhùn kò lè lo hash oníyọ̀
MSCHAPv2 jẹ́ ìpààsọ́rọ̀ ìpèníjà-ìdáhùn, nítorí náà olùpèsè kò gba ọ̀rọ̀ ìpamọ́ náà rárá, kò sì lè fi okùn tí a pamọ́ wé. Ó gbọ́dọ̀ yọ ìdáhùn tí a retí jáde láti inú ohun èlò tí ó ti ní, ìdí nìyẹn tí àwọn ìrísí ìpamọ́ tí ó bá a mu fi há tó bẹ́ẹ̀. Iye bcrypt tàbí Argon2 pẹ̀lú iyọ̀ fún ẹnìkọ̀ọ̀kan jẹ́ ọ̀nà kan ṣoṣo ní ọ̀nà tí ó fagilé ìpààsọ́rọ̀ náà pátápátá. Tábìlì tí ó wà nísàlẹ̀ bẹ̀rẹ̀ láti ìrísí ìpamọ́, kì í ṣe orúkọ ọ̀nà, nítorí ìrísí ìpamọ́ ni ó ń pinnu ìdáhùn.
| What the store holds | What that material can verify | What has to change |
|---|---|---|
| A bcrypt or Argon2 value with a per-user salt | nothing challenge-response can use, and not the password either | re-enrol the users, or place a verifying service in front |
| An unsalted NT-hash | MSCHAPv2, and inner PAP through a TLS tunnel | nothing, as long as that store is the verifier |
| A client certificate with a revocation list | EAP-TLS only | move enrolment and revocation to the PKI owner |
Ìwé ẹ̀rọ ìṣàfikún SQL fún strongSwan ń ṣàlàyé ètò tirẹ̀ fún ètò àti ẹ̀rí ìdánimọ̀, iṣẹ́ náà sì ṣì ń fi àmì sí ẹ̀rọ ìṣàfikún yẹn gẹ́gẹ́ bí ìdánwò. Kò sí ohun tí ó ń bá tábìlì àwọn olùlò ohun èlò mu, bẹ́ẹ̀ ni kò ń dí èrò wo ni ètò hash tí ó ṣe iye tí a pamọ́. Nítorí náà àwọn àṣàyàn tí ó wà ní ojú pọ́n ni gbígbé lọ sí ìpamọ́ tí ẹnubodè lè lò, tàbí iṣẹ́ ìjẹ́rìí tí ó wà níwájú ìpamọ́ tí ó wà tẹ́lẹ̀ tí ó lè ṣe ìpààsọ́rọ̀ náà. Ohun mìíràn yówù jẹ́ ìsopọ̀ tí ó ní àbáwọ́n tí ó pamọ́ nínú.
RADIUS ń gbé iṣẹ́ náà, kì í ṣe ìbéèrè náà
Fífi EAP lé olùpèsè RADIUS lọ́wọ́ ń yí ibi tí ìyẹ̀wò ń ṣẹlẹ̀ padà, ó sì sábà mú ohun tí a fi ń ṣàyẹ̀wò dára sí i. Kò gba ọ̀rọ̀ ìpamọ́ padà láti inú hash ọ̀nà kan, nítorí náà iṣẹ́ ìjẹ́rìí ṣì nílò ohun èlò tí ó bá ọ̀nà tí ó ń parí mu. Àwọn ẹgbẹ́ ń mọ èyí lẹ́yìn tí wọ́n ti kọ́ ọ̀nà RADIUS tí wọ́n sì bá ògiri kan náà pàdé ní ìkẹ́yìn.
Níbi tí olùpèsè RADIUS lè ka ìwé ìtọ́kasí tí ó ní ẹ̀rí tí ó bá a mu, ètò náà ń ṣiṣẹ́, ẹnubodè VPN sì wà ní rírọrùn. Níbi tí kò lè, ìdáhùn olóòtítọ́ ni ìyípadà ìforúkọsílẹ̀, kì í ṣe ìsopọ̀ mìíràn. Pípèsè àti yíyọ kúrò jẹ́ ti ẹni tí ó ní ìdánimọ̀, nítorí náà tábìlì tí a dà kò ní ìlànà ìsopọ̀ tí a ti ṣe àtìlẹ́yìn fún jẹ́ ìgbésí ayé ẹ̀rí kejì, kì í ṣe ìwọlé ẹ̀ẹ̀kan. Ó ń yà kúrò nígbà àkọ́kọ́ tí ẹnìkan bá tún ọ̀rọ̀ ìpamọ́ ṣe ní ibi kan ṣoṣo, ìyàtọ̀ náà sì ń dákẹ́ títí tí àkọsílẹ̀ tí ó wà nínú ètò méjèèjì yóò fi hùwà ọ̀tọ̀ọ̀tọ̀ nínú ọ̀kọ̀ọ̀kan.
Fi ààlà de àkọsílẹ̀ tí ń ka ìwé ìtọ́kasí náà sí ìkàwé yẹn ṣoṣo, kí o sì yà á sọ́tọ̀ kúrò nínú àkọsílẹ̀ tí ẹnubodè ń lò fún ètò tirẹ̀. Àkọsílẹ̀ alábòójútó tí a pín yóò yí ètò ìkàwé-ṣoṣo padà sí ìwọ̀n ìpa tí ó gbòòrò jù.
Ibi tí àkọsílẹ̀ yẹ kí ó gbé
Nígbà tí a bá ti yanjú ọ̀rọ̀ ohun èlò, ètò méjì ló kù. Ẹnubodè lè ní ìpamọ́ ẹ̀rí kékeré tí òun ṣoṣo ń kà, tàbí kí ó fi lé iṣẹ́ ìjẹ́rìí tí ó dúró níwájú ìwé ìtọ́kasí ilé iṣẹ́ lọ́wọ́.
Èyí àkọ́kọ́ rọrùn láti ronú lé, ó sì burú fún olùlò tí yóò ní ọ̀rọ̀ ìpamọ́ kejì láti tọ́jú. Èyí kejì ń pa ìdánimọ̀ kan mọ́, ó sì ń fi ìgbẹ́kẹ̀lé kún iṣẹ́ tí gbọ́dọ̀ wà níṣẹ́ kí ẹnìkan tó lè sopọ̀. Kò sí èyí tí ó ṣe àṣìṣe, ṣùgbọ́n ó yẹ kí a kọ àṣàyàn náà sílẹ̀ lẹ́gbẹ̀ẹ́ ètò ẹnubodè, nítorí bí bẹ́ẹ̀ kọ́ ẹlẹ́rọ̀ yóò gbà pé èyí kejì ni a yàn. Ohun yówù tí o bá yàn, àwọn àṣẹ méjì tí ó wà nísàlẹ̀ ni wọ́n ń fi ipò ìsinsìnyí hàn kí o tó yí i padà.
mysql -N -e "SELECT id, username FROM vpn_users WHERE active = 1 LIMIT 5" vpn
swanctl --list-connsÌjẹ́rìí àkọsílẹ̀ kò tún yanjú àṣẹ. Ọmọ ẹgbẹ́, ipò ẹ̀rọ àti àṣẹ nẹ́tíwọ́kì ṣì nílò ìsopọ̀ tí ó ṣe kedere lẹ́yìn tí olùlò ti fi ìdánimọ̀ tí a béèrè hàn. Ìsopọ̀ tí ó ń jẹ́rìí ní pipe tí kò sì fi àṣẹ fún ohunkóhun jẹ́ èsì ìlànà, kì í ṣe àbùkù nínú ọ̀nà náà.