Γιατί το cryptoapicert αποτυγχάνει στο OpenVPN 3 και στο Connect σε Windows

Αντιγράφετε ένα λειτουργικό προφίλ OpenVPN 2 σε νεότερο πελάτη Windows, και το πιστοποιητικό που έβρισκε μόνος του ο παλιός πελάτης δεν προσφέρεται πλέον. Η γραμμή που το έκανε να λειτουργεί είναι ένας επιλογέας ειδικός για Windows που ανήκει στον πελάτη Community 2, και η νεότερη εφαρμογή είναι διαφορετικό πρόγραμμα με διαφορετική διαδρομή διαπιστευτηρίων. Το προφίλ δεν έχει αλλάξει παρά μόνο σε εκείνη τη γραμμή, και αυτό ακριβώς κάνει τη διαφορά δύσκολη να φανεί.

Τρία επίπεδα συγχέονται σε εκείνη την αναφορά: ο πελάτης Community, η βασική βιβλιοθήκη και το frontend που εγκατέστησε κάποιος. Μόνο ένα από αυτά κατάλαβε ποτέ την οδηγία.

Τι σημαίνει η επιλογή όπου υπάρχει

Στον πελάτη Community OpenVPN 2 σε Windows, το cryptoapicert ονομάζει πιστοποιητικό που ο πελάτης πρέπει να βρει στο χώρο αποθήκευσης πιστοποιητικών των Windows και όχι σε αρχείο. Είναι μια ευκολία ειδική για Windows, και λειτουργεί επειδή αυτός ο πελάτης ξέρει να απαριθμεί το χώρο και να παραδίδει το κλειδί που προκύπτει στη δική του στοίβα TLS. Η οδηγία είναι επομένως μέρος της γλώσσας διαμόρφωσης αυτού του πελάτη, όχι ιδιότητα του πρωτοκόλλου OpenVPN. Τίποτα στη μορφή μετάδοσης δεν τη μεταφέρει.

Αντιγράψτε την ίδια γραμμή σε άλλη εφαρμογή και έχετε αντιγράψει μια λέξη που το νέο πρόγραμμα μπορεί να αναλύσει, να αγνοήσει ή να απορρίψει. Μια οδηγία δεν είναι χαρακτηριστικό πρωτοκόλλου, και αυτή δεν είναι καν χαρακτηριστικό κάθε πελάτη που μιλά OpenVPN.

Τι εκθέτει αντ’ αυτού η βασική βιβλιοθήκη

Το OpenVPN 3 Core είναι μια βιβλιοθήκη που ενσωματώνουν άλλες εφαρμογές, και χειρίζεται εξωτερικά διαπιστευτήρια μέσω API και όχι με αναζήτηση στο χώρο αποθήκευσης. Η εφαρμογή που την ενσωματώνει παρέχει αλυσίδα πιστοποιητικών και αργότερα ζητά από τη βιβλιοθήκη να υπογράψει με εξωτερικό κλειδί, και η βιβλιοθήκη καλεί πίσω στην εφαρμογή για να το κάνει. Αυτός είναι γενικότερος σχεδιασμός, και σημαίνει ότι το frontend αποφασίζει ποιοι πάροχοι υπάρχουν. Στη δική της διαχείριση επιλογών η βιβλιοθήκη εμφανίζει το cryptoapicert ανάμεσα στις οδηγίες που δεν υλοποιούνται, κάτι που συνάδει με αυτή την κατανομή ευθύνης.

Η ύπαρξη αυτών των επανακλήσεων δεν σημαίνει ότι μια συγκεκριμένη πακεταρισμένη εφαρμογή απαριθμεί τον προσωπικό χώρο του τρέχοντος χρήστη, υποστηρίζει συγκεκριμένο πάροχο κλειδιών ή μπορεί να ολοκληρώσει αίτημα έξυπνης κάρτας. Αυτά είναι ιδιότητες του frontend, και καθεμία πρέπει να τεκμηριώνεται από το frontend.

Τι κάνει αντ’ αυτού το frontend των Windows

Το OpenVPN Connect ακολουθεί άλλη διαδρομή: ο χειριστής εισάγει αρχείο PKCS#12 που περιέχει το πιστοποιητικό και το ιδιωτικό του κλειδί σε ένα OpenVPN Certificate Store που δημιουργήθηκε για αυτόν το σκοπό, και έπειτα αναθέτει το εξωτερικό πιστοποιητικό στο προφίλ. Αυτό είναι σκόπιμο βήμα εισαγωγής, όχι αυτόματη ανακάλυψη ό,τι τυχαίνει να βρίσκεται στον προσωπικό χώρο. Η διάκριση μετρά όταν κάποιος υποθέτει ότι ένα πιστοποιητικό εγκατεστημένο για άλλο σκοπό θα εμφανιστεί απλώς στη λίστα του πελάτη.

Η εισαγωγή έχει συνέπεια και για την πολιτική κλειδιών, γιατί η εξαγωγή κλειδιού σε αρχείο P12 είναι ακριβώς αυτό που ένα μη εξαγώγιμο κλειδί έχει σχεδιαστεί να εμποδίζει. Είναι ζήτημα πολιτικής και όχι διαμόρφωσης, και αξίζει απάντηση πριν κάποιος επιχειρήσει την εισαγωγή.

Επιλέξτε διαδρομή που ταιριάζει με την πολιτική του κλειδιού

Αν το διαπιστευτήριο είναι εξαγώγιμο και η πολιτική επιτρέπει την τεκμηριωμένη εισαγωγή, χρησιμοποιήστε την προστατευμένη διαδικασία εγγραφής του οργανισμού και κρατήστε το προσωρινό P12 και τον κωδικό του έξω από αρχεία καταγραφής και σενάρια. Αν το κλειδί δεν πρέπει ποτέ να φύγει από έξυπνη κάρτα ή προστατευμένο πάροχο, επιλέξτε συνδυασμό πελάτη και παρόχου που υποστηρίζει ρητά αυτή την απαίτηση, ή ζητήστε επιβεβαίωση από τον προμηθευτή για την έκδοση που εγκαταστήσατε. Καμία από τις δύο διακλαδώσεις δεν είναι υποκατάστατο της άλλης.

Η επαναφορά της οδηγίας στο προφίλ δεν μπορεί να προσφέρει ενσωμάτωση που η εφαρμογή δεν έχει. Ούτε μια νεότερη έκδοση πελάτη την προσθέτει απαραίτητα, γιατί η δυνατότητα ανήκει στον σχεδιασμό του ίδιου του frontend.

Μόλις λειτουργήσει το τοπικό κλειδί, ο διακομιστής εξακολουθεί να ελέγχει την ταυτότητα του πιστοποιητικού, την αλυσίδα και την εξουσιοδότηση. Ένα αξιοποιήσιμο τοπικό κλειδί και μια αποδεκτή ταυτότητα VPN είναι ξεχωριστά αποτελέσματα, και το να μένουν ξεχωριστά είναι αυτό που εμποδίζει έναν περιορισμό του frontend να μετατραπεί σε αποδυναμωμένη πολιτική πιστοποιητικών.