Üks ühine nimi, kaks sertifikaati: lubatud nimekiri või tühistamine?

Sülearvuti sertifikaadi uuesti väljastamine sama ühise nime all tundub asendusena ja kõik eeldavad, et vana on surnud. See ei ole. Eelkäija jääb sama asutuse allkirjastatud kehtivaks sertifikaadiks ja iga kontroll, mis lubab kliente nime järgi, jätkab selle lubamist. Identiteedikontrolli ja mandaadikontrolli eristab seerianumber, ja parandus kuulub sinna.

Alustage nimede poliitikast, mida server kasutab

Kaks kontrolli aetakse segi: kliendi lubamine selle põhjal, kelleks ta end nimetab, ja ühe konkreetse sertifikaadi teenusest eemaldamine. Esimene on nimekontroll, teine on tühistamiskontroll. Need vastavad erinevatele küsimustele ja juurutus võib omada ühte ilma teiseta.

Lugege serveri konfiguratsiooni ja märkige, milline identiteediallikas on mängus. username-as-common-name muudab autenditud kasutajanime kliendipõhiste päringute tegelikuks nimeks. Ilma selleta kasutatakse sertifikaadist subjekti ühist nime. Milline vastus ka poleks, kirjutage see üles enne, kui puudutate ükskõik millist lubatud nimekirja.

Kaks teed annavad sama sertifikaadi jaoks erineva lubatud nimede komplekti. Siin oletamine tähendab vale faili muutmist ja järeldust, et kontroll ei tööta.

Kontrollige, mis tegelikult kliendi lubab

Vastava failiga client-config-dir pakub kliendipõhiseid valikuid; üksinda ei ole see lubamisreegel. Nime järgi lubamine nõuab ccd-exclusive, mis keeldub klientidest, kellel pole vastavat faili. Selle lubamine töötavas juurutuses katkestab kõik, kelle nimel pole faili, seega loendage failid enne, kui midagi muudate.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Loend on kontroll: võrrelge kataloogi loendit identiteetidega, kelle ühendumist ootate.

Seejärel kinnitage, et iga failinimi vastab täpselt tegelikule identiteedile, sealhulgas suur- ja väiketähed ning tühikud. Fail nimele office-laptop ei tee midagi sertifikaadi jaoks, mille subjekt on Office-Laptop. Järeltühikud peidavad end ka tavalisest loendist ja nii jääb olemasolevana näiv fail lugemata.

Kontrollige CRL-i, mille lüüs laadib

CRL nimetab tühistatud sertifikaate väljaandja ja seerianumbri järgi, mis on detailsus, mida nimekontrollil napib. Kaks sertifikaati võivad jagada ühist nime ja erineda seerianumbri poolest, ja neid eristab ainult seerianumbri tasandil nimekiri.

Kinnitage konfigureeritud tee, väljaandmise kuupäev ja järgmise uuendamise väli enne, kui faili üldse usaldate.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Võrrelge CRL-is olevat seerianumbrit seerianumbriga sertifikaadil, mille kavatsete alles jätta. See võrdlus on kogu test ja selle üks kord silmaga tegemine on väärt rohkem kui usaldada skripti, mida keegi pole lugenud. Jagage uuendatud CRL-i tee kaudu, mida lüüs juba loeb. Valesse kataloogi pandud CRL ei rakenda midagi ja ükski kliendilog ei maini seda.

Asendage, seejärel tõestage mõlemad tulemused

Väljastage asendus sama ühise nime all, registreerige mõlemad seerianumbrid ja alles siis tühistage vana. See järjekord hoiab töötava identiteedi saadaval, kuni muudatust ette valmistate.

Testige esmalt asendust: see peaks end autentima ja jõudma kõigeni, millele selle nimi õiguse omab. Seejärel testige vana sertifikaati ja kinnitage, et see lükatakse tagasi, sest edukas asendus ei ütle tühistamise kohta midagi. Kui mõlemad veel ühenduvad, ei loeta tühistamise sisendit või vana seerianumbrit ei kantud kunagi nimekirja. Kui kumbki ei ühendu, olete rikkunud lubamisreeglit, mitte mandaati.

Juba loodud sessioonid on eraldi teema, sest tühistamine kehtib uute autentimiste kohta, kui lüüs pole konfigureeritud ka otseühendusi katkestama. Otsustage, kas kohene eemaldamine on vajalik, enne kui seda kellelegi lubate.

Mida nimekontroll kunagi teha ei saa

Lubatud nimekiri vastab, kas see identiteet tohib ühenduda. See ei saa öelda, millist sertifikaati see identiteet kasutas, ja lubab vanemat mandaati seni, kuni mandaat jääb kehtivaks ja tühistamata. See lünk ilmneb intsidendi ajal, kui asendus väljastati kuid tagasi ja eelkäija töötab endiselt.

Kus on vaja sertifikaadi tasandil kontrolli, kasutage mehhanismi, mis sertifikaadi nimetab: CRL-i kirjed või kontrollkonks, mis kontrollib sõrmejälge, mida operaator haldab. Mõlemad nõuavad hooldust ja mõlemad on ausad objekti suhtes, mida nad uurivad. OpenVPN 2.6 käsiraamat dokumenteerib crl-verify ja kliendipõhise lubamise eraldi valikutena just sel põhjusel.

Kirjutage üles, milline kontroll millist tööd teeb, seejärel testige negatiivset juhtumit. Tühistamine, mida te pole kunagi näinud ühendust tagasi lükkamas, on konfiguratsioon, mille lootate töötavat.