Twee OpenVPN-sertifikate, een CCD-naam: wat verkeerd geloop het

Twee kliëntsertifikate met verskillende reeksnommers, verskillende sleutels en selfs verskillende volledige onderwerpe kan steeds na 'n enkele beleidlêer lei, want die bediener kyk nie na enige daarvan nie. Dit lees 'n naam uit die sertifikaat en maak die ooreenstemmende kliëntkonfigurasielêer oop. As albei sertifikate dieselfde naam dra, erf die tweede een die eerste se beleid die oomblik wanneer dit konnekteer.

Die botsing word by registrasie geskep en eers by konnektering ontdek, gewoonlik wanneer 'n toestel 'n adres of roetestel kry wat aan 'n ander masjien behoort. Om dit te voorkom beteken om ooreen te kom oor watter veld die bediener karteer, en dan daardie waarde te reserveer voordat enigiets onderteken word.

Jou sertifikaatgereedskap sal jou nie waarsku nie, want uniekheid binne X.509 en uniekheid van 'n OpenVPN-beleidnaam is verskillende vereistes wat deur verskillende stelsels afgedwing word.

Die bediener soek 'n naam, nie 'n vingerafdruk nie

Met die gewone sertifikaatgebaseerde kartering neem die bediener die algemene naam uit die aangebied sertifikaat en soek 'n lêer met daardie naam in sy kliëntkonfigurasiegids. Daardie lêer kan 'n statiese adres vaspen, roetes stuur of vuurmuurmerke per kliënt toepas. Die soektog is 'n stringvergelyking teen 'n lêernaam, so hoofletters, spasies en leestekens maak almal saak.

Sommige ontplooiings ruil die kartering doelbewus om, sodat 'n geauthentiseerde gebruikersnaam die algemene naam oorneem, en dan is die gebruikersnaam wat uniek moet wees. Hoe dit ook al sy, die waarde wat beleid kies, is die waarde wat jy reserveer. Besluit watter een dit is voordat jy enigiets uitreik; om ná 'n botsing te raai kos meer as om te vra.

Waar twee owerhede by dieselfde naam pas

'n Organisasie wat sertifikate van meer as een uitreikende owerheid aanvaar, bedryf twee onafhanklike registrasieprosesse wat in een naamruimte skryf. Elke owerheid se eie uniekheidsreëls geld binne homself, so albei kan wettig vir dieselfde algemene naam uitreik sonder dat een van hulle iets verkeerd opmerk.

Reeksnommers help nie. X.509 vereis dat 'n reeksnommer uniek is binne sy uitgewer se omvang, wat 'n eienskap van daardie owerheid se boekhouding is eerder as 'n globale toestelidentiteit. 'n Onderwerpkontrole is ook 'n ander toets as 'n algemene-naamkontrole: twee sertifikate kan 'n CN deel terwyl hulle in organisasie-eenheid verskil, en dus verskillende onderwerpe dra. Elkeen van daardie eienskappe kan geld terwyl die bediener steeds albei sertifikate op een lêernaam karteer.

Die OpenSSL CA-dokumentasie dek die unique_subject-instelling wat oor sy eie databasis se mening heers, en die eerlike beginpunt is om jou uitreikende konfigurasie te lees eerder as om te aanvaar dat 'n bepaalde EasyRSA- of OpenSSL-verstek geld.

Reserveer die effektiewe naam voor ondertekening

Hou 'n register wat 'n toestel aan sy goedgekeurde rekord karteer en van daar na 'n presiese beleidlêernaam, sodat 'n naam een keer toegewys word en toegewys bly. Die reservering moet atomies wees, wat in die praktyk 'n databasisbeperking of 'n slot rondom die toewys-dan-onderteken-stap beteken, nie 'n sigblad wat twee mense redigeer nie.

Maak dan die kontrole deel van uitreiking: weier om te onderteken wanneer die versoekte naam reeds bestaan, en sluit elke owerheid wat die bediener vertrou in daardie kontrole in, want 'n naam wat deur die ander owerheid gereserveer is, is net so beset. 'n Verwerpte versoek met 'n duidelike rede is goedkoper as 'n kaartjie oor 'n toestel wat aanhou om iemand anders se statiese adres te kry.

Hernuwing hergebruik 'n naam doelbewus

Om vir 'n bestaande toestel weer uit te reik, behoort 'n nuwe reeksnommer onder dieselfde beleidnaam te lewer, en dit is wettige hergebruik eerder as 'n botsing. Wat vooraf besluit moet word, is die oorvleueling: of ou en nuwe sertifikate gelyktydig geldig mag wees, en hoe die ou geloofsbrief buite werking gestel word.

Moet nie na duplicate-cn gryp om dit op te los nie. Daardie bedieneropsie beheer gelyktydige verbindings wat dieselfde naam aanbied; dit sluit nie registrasie nie, en om dit te aktiveer maak nie een gedeelde statiese adres veilig vir twee masjiene gelyktydig nie. Herroeping identifiseer gewoonlik 'n sertifikaat deur uitgewer en reeksnommer, so om die ou geloofsbrief buite werking te stel, hoef nie sy vervanging ongeldig te maak nie, solank die bediener die regte herroepingsdata ontvang en afdwing.

Bevestig die kartering met die gereedskap op die masjien

Voordat jy 'n toestel sy nuwe geloofsbrief gee, lees die naam uit die sertifikaat soos die bediener dit sal doen, en vergelyk dit dan met die beleidlêer wat jy verwag om gekies te word.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Die eerste opdrag druk onderwerpvelde afsonderlik, wat 'n verdwaalde organisasie-eenheid of 'n dubbele spasie onmiddellik sigbaar maak. Die tweede bevestig dat 'n beleidlêer onder presies daardie naam bestaan, en die derde wys of die bediener gekonfigureer is om verskeie sessies op een naam toe te laat. Voer al drie teen 'n nuwe sertifikaat uit voordat dit die registrasiestap verlaat, terwyl 'n fout nog net 'n handtekening kos in plaas van 'n voorval. Hou die uitset by die kaartjie sodat die volgende persoon kan sien watter naam die bediener werklik gekry het.

Eindig met 'n werklike verbinding en vergelyk die toegewysde adres en gestuurde roetes met die beleidlêer eerder as met wat jy bedoel het om te skryf. As twee toestelle dieselfde statiese adres rapporteer, het die register 'n botsing wat geen sertifikaatinspeksie ooit sal openbaar nie.