Per què dos certificats OpenVPN poden compartir una política CCD

Una CA pot signar dos certificats que reben la mateixa OpenVPN configuració específica de client, i res en cap dels dos certificats no avisa ningú. Els números de sèrie difereixen, les claus difereixen i els subjectes complets també difereixen quan canvia una unitat organitzativa. El servidor resol la política per client mitjançant un sol nom, i aquest nom és l'única cosa que ha de ser única.

El servidor resol un nom, no un número de sèrie

Amb la cerca simple de certificats, el servidor agafa el nom comú del certificat presentat i busca una entrada de client-config-dir amb aquest nom. El número de sèrie no entra mai a la cerca. Dos certificats que difereixen en tots els camps excepte el nom comú acaben al mateix fitxer, de manera que la segona connexió hereta l'adreça fixa i les rutes enviades del primer dispositiu.

Així és com una comprovació d'unicitat al costat de la CA passa mentre la VPN encara col·lisiona. Les dues comprovacions responen preguntes diferents.

Decidiu quin ha de ser el nom efectiu abans de signar res i anoteu-lo al costat del dispositiu o compte al qual pertany. Un registre de nom, propietari, propòsit i empremta del certificat cobreix la majoria de desplegaments. Sense un, l'arxiu de certificats és l'únic registre de quin nom pertany a quin dispositiu, i aquest arxiu no pot distingir una substitució autoritzada d'un segon dispositiu que reclama un nom existent. Reserveu el nom a la inscripció, sota un bloqueig si dos operadors poden emetre alhora.

Quin nom fa servir realment la correspondència

La cerca simple de certificats fa servir el nom comú. Un servidor configurat per assignar un nom d'usuari autenticat fa servir aquest valor en lloc seu, cosa que fa que el nom comú del certificat sigui irrellevant per a la selecció de política. Llegiu la configuració en execució per veure quina correspondència està en vigor.

Totes dues correspondències poden ser presents alhora, i llavors el resultat depèn de l'ordre en què el servidor les resol. Una correspondència de nom d'usuari que recorre al nom comú acceptarà en silenci un certificat que el registre mai no va aprovar. Escriviu el nom efectiu al costat de l'ordre que el va produir perquè el següent operador no hagi de redescobrir l'ordre. Provar una connexió per correspondència és barat i resol la qüestió.

Sigui el que sigui que produeixi la correspondència, aquest és el valor a reservar. Reservar noms comuns a la CA mentre el servidor es basa en noms d'usuari reserva la cosa equivocada.

Dues CA poden aprovar el mateix nom

Un servei de VPN pot confiar en més d'una autoritat emissora, i cada autoritat té la seva pròpia idea de quins noms estan ocupats. Dues CA independents poden aprovar el mateix nom comú per a dispositius diferents, i el servidor accepta tots dos certificats sense queixa. Inventarieu cada autoritat del paquet de confiança, no només la que normalment feu servir per emetre. La fallada apareix la primera vegada que es fa servir un certificat de la segona autoritat.

El mateix raonament s'aplica a una CA que imposa la unicitat del subjecte complet en lloc de la unicitat del nom comú.

Dos certificats que comparteixen un nom comú però difereixen en unitat organitzativa tenen subjectes diferents, així que la CA no informa de cap conflicte mentre el servidor veu un sol nom. Comproveu la configuració que la vostra eina emissora fa servir realment en lloc de suposar un valor per defecte. La gestió de unique_subject a la documentació d'openssl ca és la palanca rellevant allà, i els embolcalls al voltant d'aquesta eina normalment l'exposen en lloc de substituir-la.

La renovació és una reutilització reservada, no una col·lisió

Una renovació que manté el nom és una reutilització deliberada, i el registre hauria de dir-ho amb paraules planeres. Anoteu l'empremta antiga i la nova sota un sol nom perquè un revisor pugui distingir una substitució d'una presa de control. L'opció duplicate-cn del servidor no hi té res a veure: governa les sessions concurrents, no la inscripció ni les reserves de noms. Decidiu quant de temps poden existir totes dues credencials i quan la vella deixa de ser acceptada.

Abans de lliurar la substitució, rellegiu què conté realment el certificat. La línia de subjecte és el camp que el servidor assignarà, digui el que digui el nom del fitxer.

openssl x509 -in device42.crt -noout -subject -serial -issuer

La revocació normalment identifica un certificat sota el seu emissor, així que retirar un número de sèrie no afecta una substitució emesa correctament per la mateixa autoritat. Aquest comportament és exactament el que necessita una renovació neta, i també és per això que la revocació no pot netejar un nom compartit per dos dispositius. Valideu el nom efectiu de la política i l'adreça assignada en una connexió de prova abans que l'usuari vegi el dispositiu. Després retireu la credencial vella a propòsit i anoteu que ho heu fet.