Iru PKCS#11 URI wo ni OpenConnect nílò fún tọ́kẹ̀nì kan?

Káàdì ọlọ́gbọ́n tí ó ti ní kọ́kọ́rọ́ tí ó tọ́ ṣì gbọ́dọ̀ sọ fún ni ohun wo lórí rẹ̀ ni kí a lò. Nínú irú ipò bẹ́ẹ̀, OpenConnect kò fẹ́ fáìlì .key tí a dàwò, ó fẹ́ PKCS#11 URI tí ó dárúkọ ìwé-ẹ̀rí àti, nígbà tí ìwádìí aládàáṣiṣẹ́ kò bá lè parí iṣẹ́, kọ́kọ́rọ́ àdáni tí ó wà lẹ́gbẹ̀ẹ́ rẹ̀. Ohun tí ó le koko ni pé URI tí ó tọ́ nípa ìṣètò kò fi ohunkóhun hàn. Ó gbọ́dọ̀ dárúkọ ìforúkọsílẹ̀ tí ẹnubodè ti gbà á gbọ́, kì í ṣe kìkì ohun kan tí káàdì fẹ́ ṣí.

Ohun tí abánisọ̀rọ̀pọ̀ fẹ́ dípò kọ́kọ́rọ́ tí a kó jáde

Àṣàyàn -c sábà máa ń gba ipa ọ̀nà fáìlì, ṣùgbọ́n nígbà tí a bá túmọ̀ iye náà gẹ́gẹ́ bí PKCS#11 URI, OpenConnect kà á gẹ́gẹ́ bí ìtẹ́numọ́ ohun kan tí ó wà nínú tọ́kẹ̀nì, kì í ṣe fáìlì lórí dííṣì. Àṣàyàn -k ṣe bẹ́ẹ̀ náà fún kọ́kọ́rọ́ àdáni. Kò sí ohunkóhun tí a kó jáde, kọ́kọ́rọ́ kì í sì fi ààbò tí káàdì ń pèsè sílẹ̀. Ohun tí abánisọ̀rọ̀pọ̀ nílò lọ́wọ́ rẹ ni orúkọ tí mọ́dúlù tọ́kẹ̀nì, ibi ìkópamọ́ ìwé-ẹ̀rí àti ìforúkọsílẹ̀ ẹnubodè gbà.

Ìdíwọ́ àkọ́kẹ̀yìn yìí ni ọ̀pọ̀ ìgbìyànjú ti ń dúró sí. URI lè jẹ́ àràmọ̀dá dáadáa péré tí yóò sì yan ìwé-ẹ̀rí tí ẹnubodè yóò kọ̀, nítorí pé ìwúlò àti ìbámu jẹ́ ìbéèrè ọ̀tọ̀ọ̀tọ̀. Àyẹ̀wò tí ó yẹ kí a ṣe ni ìfiwéra pẹ̀lú àkọsílẹ̀ ìforúkọsílẹ̀, kì í ṣe wíwa ohun àkọ́kẹ̀yìn tí ó ṣí láìròtẹ́lẹ̀.

URI méjì, iṣẹ́ méjì ọ̀tọ̀ọ̀tọ̀

URI ìwé-ẹ̀rí dáhùn ìdánimọ̀ wo ni o ń béèrè. Ó tọ́ka sí ohun ìwé-ẹ̀rí kan tí kọ́kọ́rọ́ gbogbogbò àti ìlà àkòrí rẹ̀ bá profáìlì àkọsílẹ̀ tàbí ẹ̀rọ tí alábòójútó VPN ṣe jáde mu. Ìwé-ẹ̀rí kan náà sábà máa ń wá pẹ̀lú ohun kọ́kọ́rọ́ àdáni tí a kópamọ́ lẹ́gbẹ̀ẹ́ rẹ̀, ìdí méjì yẹn ni TLS fẹ́ gan-an.

URI kọ́kọ́rọ́ dáhùn ibi tí ohun àdáni tí ó bá a mu wà nígbà tí OpenConnect kò bá lè rò ó. Nígbà tí -c nìkan bá wà, abánisọ̀rọ̀pọ̀ kọ́ ìwádìí kọ́kọ́rọ́ láti inú àwọn ànímọ́ ìwé-ẹ̀rí; fífún -k rọ́pò àròsọ pẹ̀lú ìtẹ́numọ́ ohun tí ó ṣe kedere. PIN tọ́kẹ̀nì ni ìwọlé kẹta tí kò ní í ṣe pẹ̀lú rẹ̀: ó ṣí káàdì fún iṣẹ́ náà, kò sì dánimọ̀ ohun kan rí.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Gbogbo ohun tí ó wà nínú okùn àfàyọ yẹn jẹ́ dátà. Àwọn àmì ìdánudúró ń pín àwọn ànímọ́ URI, àwọn ìsá àsọtẹ́lẹ̀ ìpín-ọgọ́rùn-ún sì ń kó àwọn lẹ́tà tí yóò bà ìtúpalẹ̀ jẹ́, nítorí náà gbogbo àríyànjiyàn náà gbọ́dọ̀ gba inú ṣẹ́ẹ̀lì kọjá láìfarapa.

Wíwa URI tí ó bá ìforúkọsílẹ̀ rẹ mu

GnuTLS wá pẹ̀lú p11tool, tí ó ń ṣe àkọsílẹ̀ ohun tí olùlò lọ́wọ́lọ́wọ́ lè dé ní ti gidi nípasẹ̀ p11-kit. Bẹ̀rẹ̀ pẹ̀lú p11tool --list-tokens, lẹ́yìn náà ṣe àkọsílẹ̀ àwọn ohun ìwé-ẹ̀rí lórí tọ́kẹ̀nì tí o bìkítà fún. Fi --login kún un nígbà tí àwọn ohun náà bá farahàn lẹ́yìn PIN nìkan, kí o sì fi àkòrí àti olùgbéjáde wé àkọsílẹ̀ ìforúkọsílẹ̀ dípò yíyan ohun àkọ́kẹ̀yìn tí ó farahàn.

Bí tọ́kẹ̀nì kò bá farahàn rárá, ìṣòro wà nísàlẹ̀ OpenConnect: p11-kit kò ní mọ́dúlù tí a forúkọsílẹ̀ fún ẹ̀rọ àárín yẹn, tàbí a ti forúkọsílẹ̀ mọ́dúlù náà fún àkọsílẹ̀ mìíràn. Ìforúkọsílẹ̀ ní ìpele ẹ̀rọ wà nísàlẹ̀ /etc/pkcs11/modules, àpò fún olùlò kọ̀ọ̀kan sì lè dá ohun kan náà dúró láìfi ọwọ́ kan ẹ̀dà ẹ̀rọ náà. Ṣàyẹ̀wò pé ipa ọ̀nà olùpèsè nínú fáìlì mọ́dúlù tọ́ka sí ilé-ìkàwé tí sọ́fítíwé olùkàwé ti fi sórí ẹ̀rọ ní ti gidi.

Nígbà tí o bá ń dà URI látinú àkọsílẹ̀, pa àwọn àmì àfàyọ mọ́ yí ká. Àwọn àmì ìdánudúró tí kò ní àfàyọ ń gé àríyànjiyàn ní ànímọ́ àkọ́kẹ̀yìn, abánisọ̀rọ̀pọ̀ yóò sì jábọ́ ohun tí kò lè rí.

Nígbà tí ìwádìí kọ́kọ́rọ́ aládàáṣiṣẹ́ bá juwọ́ sílẹ̀

OpenConnect lè yọ ìwádìí kọ́kọ́rọ́ jáde láti URI ìwé-ẹ̀rí, ṣùgbọ́n ìbámu gbáà tí ó ń ṣe sinmi lórí ẹ̀yà, bí a ti ń ṣe pẹ̀lú irú ohun àti àmì ti yí padà bí àkókò ti ń lọ. Ìmọ̀ràn pé kí o gé URI kúrú títí yóò fi ṣiṣẹ́ ń ṣàpèjúwe ọ̀nà àyípadà àtijọ́, kì í ṣe ohun tí a nílò. Bí ìwádìí tí a yọ jáde bá kùnà, dárúkọ kọ́kọ́rọ́ náà ní kedere pẹ̀lú -k dípò yí URI ìwé-ẹ̀rí padà sí ohun tí ó ṣókùnkùn.

Ṣàyẹ̀wò pé kọ́kọ́rọ́ wà àti pé ó hàn pẹ̀lú p11tool --list-keys kí o tó dá abánisọ̀rọ̀pọ̀ lẹ́bi. Lẹ́yìn náà ṣàyẹ̀wò pé a ti fi àmì sí ohun náà gẹ́gẹ́ bí ohun tí ó ṣe é lò fún ìfọwọ́sí tàbí ìtúndẹ́, nítorí pé kọ́kọ́rọ́ tí a fi ànímọ́ tí kò tọ́ dá kò lè parí ìfọwọ́sọ̀rọ̀, bí URI ti tọ́ tó. Má ṣe gbé iye pkcs11-id tí a ti ṣe àtẹ̀jáde látinú profáìlì OpenVPN sínú àṣàyàn OpenConnect; àwọn abánisọ̀rọ̀pọ̀ méjèèjì ń lo àwọn ọ̀nà ìdánimọ̀ tí ó yàtọ̀ kódà nígbà tí wọ́n bá ń bá káàdì kan náà sọ̀rọ̀.

Bí URI bá yanjú tí a sì gba PIN, ṣùgbọ́n ìjẹ́rìí kò tíì ṣiṣẹ́, dá ìṣàtúnṣe URI dúró. Ka àṣìṣe ẹnubodè fúnra rẹ̀, nítorí pé ìkùnà tí ó kàn wà lókè tọ́kẹ̀nì.

Àwọn ìkùnà tí ó kan dàbí ìṣòro URI

Ẹnubodè tí ó ń sọ èdè ìlòpọ̀ mìíràn yóò kùnà bakanna bóyá URI rẹ tọ́ tàbí kò tọ́. OpenConnect rọ́pò abánisọ̀rọ̀pọ̀ vpnc àtijọ́ fún ìdí kan, àti pé àtìlẹ́yìn káàdì kì í sọ èdè ìlòpọ̀ ẹnubodè tí kò báramu di èyí tí ó báramu. Ṣàyẹ̀wò èdè ìlòpọ̀ tí sáfà ń retí àti ìṣètò ìjẹ́rìí kí o tó lo wákàtí mìíràn lórí àwọn ànímọ́ ohun.

Ìjẹ́rìí ìdánimọ̀ sáfà náà tún jẹ́ ìpele ọ̀tọ̀. Abánisọ̀rọ̀pọ̀ ń ṣàyẹ̀wò ìwé-ẹ̀rí ẹnubodè lòdì sí ibi ìkópamọ́ ìgbẹ́kẹ̀lé rẹ̀, àyẹ̀wò yẹn sì ń ṣiṣẹ́ lẹ́yìn tí káàdì ti ṣe apá tirẹ̀. Àwọn àṣẹ olùkàwé àti iṣẹ́ pcscd tí ó dúró ń mú àmì ìta kan náà jáde, tọ́kẹ̀nì tí kò ṣe é kà, pẹ̀lú àtúnṣe tí ó rọrùn gan-an.

Ṣiṣẹ́ láti inú ohun jáde: ṣé p11tool rí tọ́kẹ̀nì, ṣé ó rí ìwé-ẹ̀rẹ́ àti kọ́kọ́rọ́, ṣé OpenConnect gba URI, lẹ́yìn náà nìkan béèrè bóyá ẹnubodè gba ìdánimọ̀ náà. Ìgbésẹ̀ kọ̀ọ̀kan ní ìfiránṣẹ́ àṣìṣe tirẹ̀, èyí kọ̀ọ̀kan sì rọrùn láti dánwò ju èyí tí ó kàn.