Γιατί δύο πιστοποιητικά OpenVPN μπορούν να μοιράζονται μία πολιτική CCD

Μια CA μπορεί να υπογράψει δύο πιστοποιητικά που παίρνουν την ίδια OpenVPN διαμόρφωση ειδική για πελάτη, και τίποτα σε κανένα από τα δύο πιστοποιητικά δεν προειδοποιεί κανέναν. Οι σειριακοί αριθμοί διαφέρουν, τα κλειδιά διαφέρουν, και τα πλήρη υποκείμενα διαφέρουν επίσης μόλις αλλάξει μια οργανωτική μονάδα. Ο διακομιστής καθορίζει την πολιτική ανά πελάτη μέσω ενός ονόματος, και αυτό το όνομα είναι το μόνο που πρέπει να είναι μοναδικό.

Ο διακομιστής επιλύει ένα όνομα, όχι έναν σειριακό αριθμό

Με την απλή αναζήτηση πιστοποιητικού, ο διακομιστής παίρνει το κοινό όνομα από το προσκομιζόμενο πιστοποιητικό και ψάχνει μια καταχώριση client-config-dir με αυτό το όνομα. Ο σειριακός αριθμός δεν μπαίνει ποτέ στην αναζήτηση. Δύο πιστοποιητικά που διαφέρουν σε κάθε πεδίο εκτός από το κοινό όνομα καταλήγουν στο ίδιο αρχείο, οπότε η δεύτερη σύνδεση κληρονομεί τη σταθερή διεύθυνση και τις προωθημένες διαδρομές της πρώτης συσκευής.

Έτσι περνά ένας έλεγχος μοναδικότητας στην πλευρά της CA ενώ το VPN εξακολουθεί να συγκρούεται. Οι δύο έλεγχοι απαντούν σε διαφορετικά ερωτήματα.

Αποφασίστε ποιο πρέπει να είναι το πραγματικό όνομα πριν υπογράψετε οτιδήποτε, και καταγράψτε το δίπλα στη συσκευή ή τον λογαριασμό στον οποίο ανήκει. Ένα μητρώο με όνομα, ιδιοκτήτη, σκοπό και αποτύπωμα πιστοποιητικού καλύπτει τις περισσότερες εγκαταστάσεις. Χωρίς αυτό, το αρχείο πιστοποιητικών είναι η μόνη καταγραφή του ποιο όνομα ανήκει σε ποια συσκευή, και αυτό το αρχείο δεν μπορεί να ξεχωρίσει μια εξουσιοδοτημένη αντικατάσταση από μια δεύτερη συσκευή που διεκδικεί υπάρχον όνομα. Δεσμεύστε το όνομα κατά την εγγραφή, υπό κλείδωμα αν δύο χειριστές μπορούν να εκδίδουν ταυτόχρονα.

Ποιο όνομα χρησιμοποιεί στην πραγματικότητα η αντιστοίχιση

Η απλή αναζήτηση πιστοποιητικού χρησιμοποιεί το κοινό όνομα. Ένας διακομιστής που έχει στηθεί να αντιστοιχίζει πιστοποιημένο όνομα χρήστη χρησιμοποιεί αντ' αυτού εκείνη την τιμή, γεγονός που καθιστά το κοινό όνομα του πιστοποιητικού άσχετο με την επιλογή πολιτικής. Διαβάστε τη διαμόρφωση που εκτελείται για να δείτε ποια αντιστοίχιση ισχύει.

Και οι δύο αντιστοιχίσεις μπορούν να υπάρχουν ταυτόχρονα, και τότε το αποτέλεσμα εξαρτάται από τη σειρά με την οποία ο διακομιστής τις επιλύει. Μια αντιστοίχιση ονόματος χρήστη που καταφεύγει στο κοινό όνομα θα δεχτεί αθόρυβα ένα πιστοποιητικό που το μητρώο δεν ενέκρινε ποτέ. Γράψτε το πραγματικό όνομα δίπλα στην εντολή που το παρήγαγε, ώστε ο επόμενος χειριστής να μη χρειαστεί να ανακαλύψει ξανά τη σειρά. Το να δοκιμάσετε μία σύνδεση ανά αντιστοίχιση είναι φθηνό και λύνει το ζήτημα.

Ό,τι κι αν παράγει η αντιστοίχιση, αυτή είναι η τιμή που πρέπει να δεσμευτεί. Το να δεσμεύετε κοινά ονόματα στην CA ενώ ο διακομιστής βασίζεται σε ονόματα χρηστών δεσμεύει το λάθος πράγμα.

Δύο CA μπορούν να εγκρίνουν το ίδιο όνομα

Μια υπηρεσία VPN μπορεί να εμπιστεύεται περισσότερες από μία αρχές έκδοσης, και κάθε αρχή κρατά τη δική της αντίληψη για το ποια ονόματα είναι πιασμένα. Δύο ανεξάρτητες CA μπορούν και οι δύο να εγκρίνουν το ίδιο κοινό όνομα για διαφορετικές συσκευές, και ο διακομιστής δέχεται και τα δύο πιστοποιητικά χωρίς παράπονο. Καταγράψτε κάθε αρχή στη δέσμη εμπιστοσύνης, όχι μόνο εκείνη από την οποία εκδίδετε συνήθως. Η αποτυχία εμφανίζεται την πρώτη φορά που χρησιμοποιείται πιστοποιητικό από τη δεύτερη αρχή.

Το ίδιο σκεπτικό ισχύει για μια CA που επιβάλλει μοναδικότητα πλήρους υποκειμένου αντί για μοναδικότητα κοινού ονόματος.

Δύο πιστοποιητικά που μοιράζονται ένα κοινό όνομα αλλά διαφέρουν ως προς την οργανωτική μονάδα έχουν διαφορετικά υποκείμενα, οπότε η CA δεν αναφέρει σύγκρουση ενώ ο διακομιστής βλέπει ένα όνομα. Ελέγξτε τη ρύθμιση που χρησιμοποιεί πραγματικά το εργαλείο έκδοσής σας αντί να υποθέσετε μια προεπιλογή. Η διαχείριση του unique_subject στην τεκμηρίωση του openssl ca είναι το σχετικό κουμπί εκεί, και τα περιτυλίγματα γύρω από αυτό το εργαλείο συνήθως το εκθέτουν αντί να το αντικαθιστούν.

Η ανανέωση είναι δεσμευμένη επαναχρησιμοποίηση, όχι σύγκρουση

Μια ανανέωση που διατηρεί το όνομα είναι σκόπιμη επαναχρησιμοποίηση, και το μητρώο πρέπει να το λέει με απλά λόγια. Καταγράψτε το παλιό αποτύπωμα και το νέο κάτω από ένα όνομα, ώστε ένας ελεγκτής να ξεχωρίζει μια αντικατάσταση από μια κατάληψη. Η επιλογή duplicate-cn του διακομιστή είναι άσχετη: ρυθμίζει ταυτόχρονες συνεδρίες, όχι εγγραφή ή δεσμεύσεις ονομάτων. Αποφασίστε πόσο καιρό μπορούν να υπάρχουν και τα δύο διαπιστευτήρια και πότε το παλιό σταματά να γίνεται δεκτό.

Πριν παραδώσετε την αντικατάσταση, διαβάστε τι περιέχει πραγματικά το πιστοποιητικό. Η γραμμή υποκειμένου είναι το πεδίο που θα αντιστοιχίσει ο διακομιστής, ό,τι κι αν υποδηλώνει το όνομα αρχείου.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Η ανάκληση συνήθως ταυτοποιεί ένα πιστοποιητικό κάτω από τον εκδότη του, οπότε η απόσυρση ενός σειριακού αριθμού δεν επηρεάζει μια σωστά εκδοθείσα αντικατάσταση από την ίδια αρχή. Αυτή η συμπεριφορά είναι ακριβώς ό,τι χρειάζεται μια καθαρή ανανέωση, και γι' αυτό η ανάκληση δεν μπορεί να καθαρίσει ένα όνομα που μοιράζονται δύο συσκευές. Επικυρώστε το πραγματικό όνομα πολιτικής και τη διευθετημένη διεύθυνση σε δοκιμαστική σύνδεση πριν ο χρήστης δει τη συσκευή. Έπειτα αποσύρετε σκόπιμα το παλιό διαπιστευτήριο και καταγράψτε ότι το κάνατε.