Адно агульнае імя, два сертыфікаты: спіс дазволеных ці адкліканне?

Перавыпуск сертыфіката ноўтбука пад тым жа агульным імем выглядае як замена, і ўсе мяркуюць, што стары мёртвы. Гэта не так. Папярэднік застаецца сапраўдным сертыфікатам, падпісаным тым жа цэнтрам, і любы кантроль, які дапускае кліентаў па імені, будзе працягваць яго дапускаць. Тое, што аддзяляе праверку асобы ад праверкі ўліковых даных, — гэта серыйны нумар, і менавіта там павінна быць выпраўленне.

Пачніце з палітыкі імёнаў, якую выкарыстоўвае сервер

Дзве меры кантролю блытаюць: дапуск кліента таму, што ён сцвярджае, хто ён, і вывядзенне канкрэтнага сертыфіката з эксплуатацыі. Першая — праверка імя, другая — праверка адклікання. Яны адказваюць на розныя пытанні, і разгортванне можа мець адну без другой.

Прачытайце канфігурацыю сервера і адзначце, якая крыніца асобы задзейнічана. username-as-common-name робіць аўтэнтыфікаванае імя карыстальніка эфектыўным імем для пошуку па канкрэтным кліенце. Без яго выкарыстоўваецца агульнае імя суб’екта з сертыфіката. Якім бы ні быў адказ, запішыце яго, перш чым кранаць любы спіс дазволеных.

Два шляхі даюць розны набор дазволеных імёнаў для аднаго сертыфіката. Гадаць тут — значыць правіць не той файл і рабіць выснову, што кантроль не працуе.

Праверце, што насамрэч дапускае кліента

Параметр client-config-dir з адпаведным файлам падае параметры для кожнага кліента; сам па сабе ён не з’яўляецца правілам допуску. Допуск па імені патрабуе ccd-exclusive, які адмаўляе кліентам, што не маюць адпаведнага файла. Уключэнне гэтага на жывым разгортванні адключае ўсіх, чыё імя не мае файла, таму палічыце файлы, перш чым нешта перамыкаць.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Колькасць — гэта і праверка: параўнайце змесціва каталога з асобамі, якія, як вы чакаеце, падключацца.

Затым пераканайцеся, што кожнае імя файла дакладна супадае з эфектыўнай асобай, уключаючы рэгістр і прабелы. Файл для office-laptop не дзейнічае на сертыфікат, суб’ект якога — Office-Laptop. Канцавыя прабелы таксама хаваюцца ад звычайнага спісу, і менавіта так файл, які выглядае наяўным, застаецца непрачытаным.

Праверце CRL, які загружае шлюз

CRL называе адкліканыя сертыфікаты па выдаўцы і серыйным нумары — гэта дакладнасць, якой не хапае праверцы імя. Два сертыфікаты могуць мець адно агульнае імя і розніцца серыйным нумарам, і толькі спіс на ўзроўні серыйнага нумара іх раздзяляе.

Пераканайцеся ў наладжаным шляху, даце выпуску і полі наступнага абнаўлення, перш чым увогуле давяраць файлу.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Параўнайце серыйны нумар у CRL з серыйным нумарам на сертыфікаце, які вы збіраецеся пакінуць. Гэта параўнанне — увесь тэст, і зрабіць яго аднойчы вачыма каштоўней, чым давяраць скрыпту, які ніхто не чытаў. Размяркуйце абноўлены CRL праз шлях, які шлюз ужо чытае. CRL у няправільным каталогу нічога не забяспечвае, і ніводзін кліенцкі журнал пра гэта не згадае.

Замяніце, затым дакажыце абодва вынікі

Выпусціце замену пад тым жа агульным імем, запішыце абодва серыйныя нумары і толькі пасля гэтага адклічце стары. Такі парадак захоўвае працаздольную асобу даступнай, пакуль вы рыхтуеце змену.

Спачатку праверце замену: яна павінна аўтэнтыфікавацца і дасягнуць таго, на што мае права яе імя. Затым праверце стары сертыфікат і пераканайцеся, што ён адхілены, бо паспяховая замена нічога не кажа пра адкліканне. Калі абодва ўсё яшчэ падключаюцца, уваход адклікання не чытаецца або стары серыйны нумар ніколі не быў унесены ў спіс. Калі не падключаецца ніводны, вы зламалі правіла допуску, а не ўліковыя даныя.

Ужо ўсталяваныя сеансы — асобная справа, бо адкліканне датычыцца новых аўтэнтыфікацый, калі шлюз не наладжаны таксама скідаць жывыя злучэнні. Вырашыце, ці патрэбна неадкладнае выдаленне, перш чым абяцаць гэта камусьці.

Што праверка імя не можа зрабіць ніколі

Спіс дазволеных адказвае, ці можа гэтая асоба падключыцца. Ён не можа сказаць, які сертыфікат выкарыстоўвала гэтая асоба, і будзе дапускаць старэйшыя ўліковыя даныя, пакуль яны застаюцца сапраўднымі і неадкліканымі. Гэтая прага ўсплывае падчас інцыдэнту, калі замена выдадзена месяц таму, а папярэднік усё яшчэ працуе.

Там, дзе патрабуецца кантроль на ўзроўні сертыфіката, выкарыстоўвайце механізм, які называе сертыфікат: запісы CRL або хук праверкі, што правярае адбітак, які падтрымлівае аператар. Абодва патрабуюць суправаджэння, і абодва сумленныя адносна аб’екта, які яны даследуюць. Дапаможнік OpenVPN 2.6 апісвае crl-verify і допуск канкрэтных кліентаў як асобныя опцыі менавіта з гэтай прычыны.

Запішыце, які кантроль выконвае якую працу, затым праверце адмоўны выпадак. Адкліканне, якое вы ніколі не бачылі адмаўляючым злучэнне, — гэта канфігурацыя, на якую вы спадзяецеся, што яна працуе.