Чаму два сертыфікаты OpenVPN могуць дзяліць адну палітыку CCD

CA можа падпісаць два сертыфікаты, якія атрымаюць адну і тую ж OpenVPN канфігурацыю для канкрэтнага кліента, і нішто ў абодвух сертыфікатах нікога не папярэджвае. Серыйныя нумары розныя, ключы розныя, і поўныя суб'екты таксама розныя, як толькі змяняецца арганізацыйнае падраздзяленне. Сервер вызначае палітыку для кожнага кліента праз адно імя, і гэта імя — адзінае, што павінна быць унікальным.

Сервер вызначае імя, а не серыйны нумар

Пры звычайным пошуку сертыфіката сервер бярэ агульнае імя з прадстаўленага сертыфіката і шукае запіс client-config-dir з гэтым імем. Серыйны нумар ніколі не ўдзельнічае ў пошуку. Два сертыфікаты, якія адрозніваюцца ўсім, акрамя агульнага імя, трапляюць у адзін і той жа файл, таму другое злучэнне атрымлівае фіксаваны адрас і прадпісаныя маршруты першай прылады.

Менавіта так праверка ўнікальнасці на баку CA праходзіць, а VPN усё роўна сутыкаецца. Дзве праверкі адказваюць на розныя пытанні.

Вызначце, якім павінна быць эфектыўнае імя, перш чым нешта падпісваць, і запішыце яго побач з прыладай або ўліковым запісам, якому яно належыць. Рэестр з іменем, уласнікам, мэтай і адбіткам сертыфіката пакрывае большасць разгортванняў. Без яго архіў сертыфікатаў — адзіны запіс пра тое, якое імя належыць якой прыладзе, і гэты архіў не можа адрозніць санкцыянаваную замену ад другой прылады, якая прэтэндуе на існуючае імя. Рэзервуйце імя пры рэгістрацыі, пад замком, калі два аператары могуць выдаваць адначасова.

Якое імя фактычна выкарыстоўвае супастаўленне

Звычайны пошук сертыфіката выкарыстоўвае агульнае імя. Сервер, настроены супастаўляць аўтэнтыфікаванае імя карыстальніка, выкарыстоўвае замест яго гэта значэнне, што робіць агульнае імя сертыфіката неістотным для выбару палітыкі. Прачытайце працуючую канфігурацыю, каб убачыць, якое супастаўленне дзейнічае.

Абодва супастаўленні могуць існаваць адначасова, і тады вынік залежыць ад парадку, у якім сервер іх вырашае. Супастаўленне імя карыстальніка, якое адкочваецца да агульнага імя, моўчкі прыме сертыфікат, які рэестр ніколі не ўхваляў. Запішыце эфектыўнае імя побач з камандай, якая яго выдала, каб наступнаму аператару не давялося зноў выяўляць парадак. Праверыць адно злучэнне на кожнае супастаўленне танна і вырашае пытанне.

Што б ні выдала супастаўленне, гэта і ёсць значэнне для рэзервавання. Рэзерваванне агульных імёнаў у CA, калі сервер абапіраецца на імёны карыстальнікаў, рэзервуе не тое.

Дзве CA могуць ухваліць адно імя

Служба VPN можа давяраць больш чым аднаму органу выпуску, і кожны орган трымае сваё ўяўленне пра тое, якія імёны занятыя. Дзве незалежныя CA могуць абедзве ўхваліць адно і тое ж агульнае імя для розных прылад, і сервер прымае абодва сертыфікаты без скаргаў. Праінвентарызуйце кожны орган у пакеце даверу, а не толькі той, з якога вы звычайна выдаяце. Збой з'яўляецца пры першым выкарыстанні сертыфіката другога органа.

Тое ж меркаванне датычыцца CA, якая патрабуе ўнікальнасці поўнага суб'екта, а не агульнага імя.

Два сертыфікаты з адным агульным імем, але рознымі арганізацыйнымі падраздзяленнямі маюць розныя суб'екты, таму CA не паведамляе пра канфлікт, а сервер бачыць адно імя. Праверце наладу, якую ваша прылада выпуску фактычна выкарыстоўвае, замест таго каб меркаваць пра значэнне па змаўчанні. апрацоўка unique_subject у дакументацыі openssl ca — гэта адпаведны ключ там, і абгорткі вакол гэтай прылады звычайна адкрываюць яго, а не замяняюць.

Абнаўленне — гэта зарэзерваванае паўторнае выкарыстанне, а не калізія

Абнаўленне, якое захоўвае імя, — гэта наўмыснае паўторнае выкарыстанне, і рэестр павінен сказаць пра гэта простымі словамі. Запішыце стары адбітак і новы пад адным імем, каб рэцэнзент мог адрозніць замену ад захопу. Опцыя duplicate-cn сервера тут не датычыць: яна кіруе адначасовымі сесіямі, а не рэгістрацыяй ці рэзерваваннем імёнаў. Вызначце, як доўга могуць існаваць абодва ўліковыя даныя і калі старое перастае прымацца.

Перш чым перадаць замену, перачытайце, што сертыфікат насамрэч змяшчае. Радок суб'екта — гэта поле, якое сервер будзе супастаўляць, што б ні прапаноўвала імя файла.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Адкліканне звычайна ідэнтыфікуе сертыфікат пад яго выдаўцом, таму вывад у адстаўку аднаго серыйнага нумара не закранае правільна выдадзеную замену ад таго ж органа. Менавіта такія паводзіны патрэбны чыстаму абнаўленню, і менавіта таму адкліканне не можа ачысціць імя, якое дзеляць дзве прылады. Праверце эфектыўнае імя палітыкі і прызначаны адрас на тэставым злучэнні, перш чым карыстальнік убачыць прыладу. Потым наўмысна выведзіце старыя ўліковыя даныя ў адстаўку і запішыце, што вы гэта зрабілі.