Εναλλακτικά ονόματα υποκειμένου: πώς αναγνωρίζεται ένας διακομιστής VPN

Ο πελάτης σας απορρίπτει ένα πιστοποιητικό του οποίου η αλυσίδα επικυρώνεται καθαρά, και το σφάλμα λέει ότι το όνομα δεν ταιριάζει. Αυτό το μήνυμα δεν αφορά το ποιος υπέγραψε το πιστοποιητικό. Αφορά την επέκταση εναλλακτικών ονομάτων υποκειμένου, που φέρει τις ταυτότητες τις οποίες το πιστοποιητικό επιτρέπεται να εκπροσωπεί, και το αν η ταυτότητα που ρυθμίσατε εμφανίζεται εκεί στη σωστή μορφή. Η εμπιστοσύνη απαντά ποιος το υπέγραψε, ενώ ο έλεγχος ονόματος απαντά σε ποιον κεντρικό υπολογιστή ανήκει.

Τι συγκρίνει στην πραγματικότητα ο πελάτης

Ο πελάτης μετατρέπει τη ρύθμισή σας σε ταυτότητα αναφοράς: ένα όνομα κεντρικού υπολογιστή, μια διεύθυνση ή ένα αναγνωριστικό ειδικό για το πρωτόκολλο. Έπειτα αναζητά αυτή την ταυτότητα στο πιστοποιητικό, εφαρμόζοντας τους κανόνες αντιστοίχισης του πρωτοκόλλου που χρησιμοποιείται. Μετρούν μόνο καταχωρίσεις του ίδιου τύπου, οπότε μια καταχώριση DNS δεν μπορεί να ικανοποιήσει μια διεύθυνση, και η σύγκριση γίνεται είτε κοιτάζει κάποιος το πιστοποιητικό είτε όχι.

Όταν η ταυτότητα αναφοράς λείπει από αυτή την επέκταση, ο έλεγχος αποτυγχάνει ακόμη και αν το παλιό κοινό όνομα ταιριάζει. Ένα πιστοποιητικό μπορεί να εκδοθεί νόμιμα σε μια εταιρεία και παρόλα αυτά να είναι λάθος για το vpn.example.com αν το όνομα δεν συμπεριλήφθηκε ποτέ. Η αποτυχία είναι ασυμφωνία ονόματος ακόμη και αν το πιστοποιητικό είναι γνήσιο.

Τα ονόματα DNS και οι διευθύνσεις IP είναι ξεχωριστές καταχωρίσεις

Ένα προφίλ που δείχνει στο 203.0.113.10 ενώ το πιστοποιητικό απαριθμεί μόνο το vpn.example.com απορρίπτεται, επειδή τα πακέτα φτάνουν αλλά η ταυτότητα δεν ταιριάζει. Τα ονόματα DNS και οι διευθύνσεις σε κυριολεκτική μορφή αποθηκεύονται ως διαφορετικοί τύποι καταχώρισης και το ένα δεν αντικαθιστά ποτέ το άλλο. Γι' αυτό μια υπηρεσία μπορεί να είναι προσβάσιμη μέσω διεύθυνσης και παρόλα αυτά άχρηστη μέσω προφίλ που χρησιμοποιεί αυτή τη διεύθυνση.

Οι χαρακτήρες μπαλαντέρ ακολουθούν επίσης τους δικούς τους κανόνες: ένα μπαλαντέρ καλύπτει μία ετικέτα, όχι κάθε όνομα κάτω από έναν τομέα. Η σύγκριση DNS δεν διακρίνει πεζά και κεφαλαία, ενώ άλλοι τύποι αναγνωριστικού διακρίνουν, οπότε μια τιμή που φαίνεται ίδια στην οθόνη μπορεί να αποτύχει σε αυστηρή σύγκριση. Ελέγξτε τους κανόνες αντιστοίχισης για τον τύπο ταυτότητας που χρησιμοποιείται αντί να συγκρίνετε συμβολοσειρές με το μάτι. Η προσθήκη ονόματος στην επέκταση είναι απόφαση έκδοσης, όχι κάτι που μπορεί να παράσχει μια ρύθμιση πελάτη.

Εξετάστε το πιστοποιητικό που χρησιμοποίησε πραγματικά η σύνδεση

Διαβάστε το υλικό που παρουσιάζει το ενεργό τελικό σημείο, όχι ένα αρχείο αντιγραμμένο από σελίδα διαχείρισης. Ένας εξισορροπητής φόρτου ή ένα στιγμιότυπο αντικατάστασης μπορεί να παρουσιάσει κάτι διαφορετικό από το πιστοποιητικό που ανέβηκε πριν μήνες, και αυτή η διαφορά είναι αόρατη σε μια κονσόλα.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Το μπλοκ εναλλακτικών ονομάτων υποκειμένου, η αλυσίδα του εκδότη και η περίοδος ισχύος ανήκουν στην ίδια ανάγνωση, επειδή η ασυμφωνία ονόματος και η λήξη παράγουν διαφορετικά σφάλματα. Συγκρίνετε κάθε όνομα σε αυτό το μπλοκ με την ταυτότητα που έχει ρυθμιστεί στο προφίλ, χαρακτήρα προς χαρακτήρα, και σημειώστε ποιος τύπος είναι. Η επανάληψη της εντολής στη μορφή διεύθυνσης του τελικού σημείου δείχνει αν το πιστοποιητικό καλύπτει και τις δύο ταυτότητες ή μόνο μία. Μια φιλική εμφάνιση υποκειμένου σε κονσόλα διαχείρισης δεν είναι αποτέλεσμα επικύρωσης και δεν λέει τίποτα για το ποια ονόματα περιέχει η επέκταση.

Το κοινό όνομα δεν είναι η σύγχρονη πηγή αλήθειας

Τα προγράμματα περιήγησης και οι περισσότερες βιβλιοθήκες TLS αγνοούν πλέον το κοινό όνομα για την αντιστοίχιση ονόματος κεντρικού υπολογιστή και συμβουλεύονται την επέκταση. Μερικοί πελάτες VPN εξακολουθούν να συγκρίνουν πρώτα το κοινό όνομα ή να καταφεύγουν σε αυτό όταν λείπει η επέκταση, και έτσι ένα πιστοποιητικό μπορεί να περάσει σε πρόγραμμα περιήγησης και να αποτύχει σε πελάτη. Ο ίδιος έλεγχος ονόματος μπορεί να περάσει σε μια πλατφόρμα και να αποτύχει σε άλλη χωρίς να αλλάξει καθόλου το πιστοποιητικό.

Μάθετε ποιο πεδίο διαβάζει ο πελάτης σας πριν αποφασίσετε ότι το πιστοποιητικό είναι λάθος. Δύο πελάτες στο ίδιο τελικό σημείο μπορούν να διαφωνήσουν, και η διαφωνία είναι πληροφορία για τον πελάτη και όχι για το πιστοποιητικό.

Διορθώστε την έκδοση ή το προφίλ, όχι τον έλεγχο

Όταν ένα προφίλ χτίστηκε γύρω από ένα ψευδώνυμο, είτε στρέψτε το στο τεκμηριωμένο όνομα κεντρικού υπολογιστή είτε επανεκδώστε το πιστοποιητικό για το ψευδώνυμο και αναπτύξτε το σε προγραμματισμένο παράθυρο. Το να σιγάσετε την προειδοποίηση δεν είναι τρίτη επιλογή, γιατί ο έλεγχος είναι το μόνο βήμα που δένει ένα υπογεγραμμένο πιστοποιητικό με αυτόν τον συγκεκριμένο κεντρικό υπολογιστή. Η αφαίρεσή του σημαίνει ότι οποιοδήποτε πιστοποιητικό από την ίδια αρχή μπορεί να σταθεί στη θέση του διακομιστή που θέλατε να προσεγγίσετε.

Η ανανέωση πρέπει να διατηρεί τα προβλεπόμενα ονόματα και τον σκοπό αντί απλώς να μετακινεί προς τα εμπρός την ημερομηνία λήξης. Μια ανανέωση που χάνει ένα όνομα είναι νέα διακοπή προγραμματισμένη για την επόμενη επανεκκίνηση, και συνήθως έρχεται χωρίς προειδοποίηση γιατί το παλιό πιστοποιητικό ήταν ακόμη έγκυρο όταν έγινε η αλλαγή.

Καταγράψτε την αναμενόμενη ταυτότητα, τα ονόματα που παρουσιάστηκαν και την αλυσίδα που τα υπέγραψε. Αυτή η καταγραφή μετατρέπει την επόμενη ανανέωση σε σύγκριση αντί σε έρευνα. Ο ορισμός της επέκτασης βρίσκεται στο RFC 5280 αν χρειάζεται να ελέγξετε μια συγκεκριμένη έκδοση.