Waarom twee OpenVPN-sertifikate een CCD-beleid kan deel

’n CA kan twee sertifikate onderteken wat dieselfde OpenVPN kliëntspesifieke konfigurasie kry, en niks in enige van die twee sertifikate waarsku iemand nie. Reeksnommers verskil, sleutels verskil, en die volle subjekte verskil ook sodra ’n organisasie-eenheid verander. Die bediener bepaal per-kliëntbeleid deur één naam, en daardie naam is die enigste ding wat uniek moet wees.

Die bediener bepaal ’n naam, nie ’n reeksnommer nie

Met gewone sertifikaatsoektog neem die bediener die algemene naam uit die aangebode sertifikaat en soek ’n client-config-dir-inskrywing met daardie naam. Die reeksnommer kom nooit in die soektog nie. Twee sertifikate wat in elke veld buiten die algemene naam verskil, beland op dieselfde lêer, so die tweede verbinding erf die eerste toestel se vaste adres en gestuurde roetes.

Dis hoe ’n uniekheidstoets aan die CA-kant slaag terwyl die VPN steeds bots. Die twee toetse antwoord verskillende vrae.

Bepaal wat die effektiewe naam moet wees voordat jy iets onderteken, en teken dit aan langs die toestel of rekening waaraan dit behoort. ’n Register van naam, eienaar, doel en sertifikaatvingerafdruk dek die meeste ontplooiings. Sonder een is die sertifikaatargief die enigste rekord van watter naam aan watter toestel behoort, en daardie argief kan nie ’n gemagtigde vervanging van ’n tweede toestel wat ’n bestaande naam opeis, onderskei nie. Reserweer die naam by inskrywing, onder ’n slot as twee operateurs op dieselfde tyd kan uitreik.

Watter naam die kartering werklik gebruik

Gewone sertifikaatsoektog gebruik die algemene naam. ’n Bediener wat opgestel is om ’n geauthentiseerde gebruikersnaam te karteer, gebruik daardie waarde eerder, wat die sertifikaat se algemene naam irrelevant maak vir beleidkeuse. Lees die lopende konfigurasie om te sien watter kartering van krag is.

Albei karterings kan gelyktydig voorkom, en dan hang die resultaat af van die volgorde waarin die bediener hulle oplos. ’n Gebruikersnaamkartering wat na die algemene naam terugval, sal stilweg ’n sertifikaat aanvaar wat die register nooit goedgekeur het nie. Skryf die effektiewe naam langs die opdrag wat dit opgelewer het, sodat die volgende operateur nie die volgorde hoef te herontdek nie. Om een verbinding per kartering te toets is goedkoop en besleg die vraag.

Wat die kartering ook al oplewer, dit is die waarde om te reserveer. Om algemene name in die CA te reserveer terwyl die bediener op gebruikersname sleutel, reserveer die verkeerde ding.

Twee CA's kan dieselfde naam goedkeur

’n VPN-diens kan meer as een uitreikende owerheid vertrou, en elke owerheid hou sy eie idee van watter name geneem is. Twee onafhanklike CA's kan albei dieselfde algemene naam vir verskillende toestelle goedkeur, en die bediener aanvaar albei sertifikate sonder klagte. Inventariseer elke owerheid in die vertrouensbundel, nie net die een waaruit jy gewoonlik uitreik nie. Die fout verskyn die eerste keer dat ’n sertifikaat van die tweede owerheid gebruik word.

Dieselfde redenasie geld vir ’n CA wat volle-subjek-uniekheid afdwing eerder as algemene-naam-uniekheid.

Twee sertifikate wat ’n algemene naam deel maar in organisasie-eenheid verskil, het verskillende subjekte, so die CA rapporteer geen konflik nie terwyl die bediener een naam sien. Kyk na die instelling wat jou uitreiknut werklik gebruik eerder as om ’n verstek aan te neem. Die hantering van unique_subject in die openssl ca-dokumentasie is die betrokke knop daar, en omhulsels rondom daardie nut stel dit gewoonlik bloot eerder as om dit te vervang.

Hernuwing is ’n gereserveerde hergebruik, nie ’n botsing nie

’n Hernuwing wat die naam behou, is ’n doelbewuste hergebruik, en die register moet dit in gewone woorde sê. Teken die ou vingerafdruk en die nuwe een onder ’n enkele naam aan, sodat ’n resensent ’n vervanging van ’n oorname kan onderskei. Die bediener se duplicate-cn-opsie is onverwant: dit beheer gelyktydige sessies, nie inskrywing of naamreserverings nie. Bepaal hoe lank albei geloofsbriewe mag bestaan en wanneer die ou een nie meer aanvaar word nie.

Voordat jy die vervanging oorhandig, lees terug wat die sertifikaat werklik bevat. Die subjekreël is die veld wat die bediener sal karteer, wat die lêernaam ook al voorstel.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Intrekking identifiseer gewoonlik ’n sertifikaat onder sy uitgewer, so om een reeksnommer te laat vaar raak nie ’n korrek uitgereikte vervanging van dieselfde owerheid nie. Daardie gedrag is presies wat ’n skoon hernuwing nodig het, en dit is ook waarom intrekking nie ’n naam kan skoonmaak wat deur twee toestelle gedeel word nie. Valideer die effektiewe beleidnaam en die toegewysde adres op ’n toetsverbinding voordat die gebruiker die toestel sien. Laat vaar dan die ou geloofsbrief doelbewus en teken aan dat jy dit gedoen het.