Защо cryptoapicert не работи в OpenVPN 3 и Connect под Windows

Копирате работещ профил на OpenVPN 2 в по-нов клиент за Windows, и сертификатът, който старият клиент намираше сам, вече не се предлага. Редът, който правеше това възможно, е селектор само за Windows, принадлежащ на клиента Community 2, а по-новото приложение е друга програма с друг път за идентификационни данни. Профилът не е променен освен с този един ред и точно това прави разликата трудна за забелязване.

В този доклад се смесват три слоя: клиентът Community, основната библиотека и фронтендът, който някой е инсталирал. Само един от тях някога е разбирал директивата.

Какво означава опцията там, където съществува

В клиента Community OpenVPN 2 под Windows cryptoapicert посочва сертификат, който клиентът трябва да намери в хранилището за сертификати на Windows, а не във файл. Това е удобство, специфично за Windows, и работи, защото този клиент знае как да изброи хранилището и да предаде получения ключ на своя TLS стек. Затова директивата е част от езика за конфигурация на този клиент, а не свойство на протокола OpenVPN. Нищо във формата за предаване не я носи.

Копирайте същия ред в друго приложение и сте копирали дума, която новата програма може да анализира, да игнорира или да отхвърли. Директивата не е функция на протокола и тази дори не е функция на всеки клиент, който говори OpenVPN.

Какво предоставя вместо това основната библиотека

OpenVPN 3 Core е библиотека, която други приложения вграждат, и тя работи с външни идентификационни данни чрез API, а не чрез търсене в хранилище. Вграждащото приложение подава верига от сертификати и по-късно иска от библиотеката да подпише с външен ключ, а библиотеката се обръща обратно към приложението, за да го направи. Това е по-общ дизайн и означава, че фронтендът решава кои доставчици съществуват. В собствената обработка на опции на библиотеката cryptoapicert се появява сред директивите, които не са реализирани, което е в съответствие с това разделение на отговорностите.

Съществуването на тези обратни извиквания не означава, че дадено пакетирано приложение изброява личното хранилище на текущия потребител, поддържа определен доставчик на ключове или може да завърши подкана за смарт карта. Това са свойства на фронтенда и всяко от тях трябва да бъде документирано от фронтенда.

Какво прави вместо това фронтендът за Windows

OpenVPN Connect поема по друг път: операторът импортира файл PKCS#12, съдържащ сертификата и неговия частен ключ, в OpenVPN Certificate Store, създадено за тази цел, и след това задава външния сертификат на профила. Това е съзнателна стъпка на импортиране, а не автоматично откриване на каквото случайно се намира в личното хранилище. Разликата е важна, когато някой предполага, че сертификат, инсталиран за друга цел, просто ще се появи в списъка на клиента.

Импортирането има последица и за политиката за ключове, защото експортирането на ключ във файл P12 е точно това, което неекспортируемият ключ е създаден да предотврати. Това е въпрос на политика, а не на конфигурация, и заслужава отговор, преди някой да опита импортирането.

Изберете път, който съответства на политиката за ключа

Ако идентификационните данни са експортируеми и политиката позволява документираното импортиране, използвайте защитения процес за регистрация на организацията и дръжте временния P12 и паролата му извън журнали и скриптове. Ако ключът никога не трябва да напуска смарт карта или защитен доставчик, изберете комбинация от клиент и доставчик, която изрично поддържа това изискване, или получете потвърждение от доставчика за версията, която сте инсталирали. Нито един от двата клона не е заобиколен път за другия.

Връщането на директивата в профила не може да осигури интеграция, която приложението не притежава. Нито по-нова версия на клиента непременно я добавя, защото възможността принадлежи на собствения дизайн на фронтенда.

След като локалният ключ работи, сървърът все още проверява идентичността на сертификата, веригата и оторизацията. Използваем локален ключ и приета идентичност на VPN са отделни резултати и точно запазването им отделно не позволява ограничение на фронтенда да се превърне в отслабена политика за сертификати.