Miks cryptoapicert OpenVPN 3-s ja Connectis Windowsis ebaõnnestub

Kopeerite töötava OpenVPN 2 profiili uuemasse Windowsi klienti, ja sertifikaati, mille vana klient ise leidis, enam ei pakuta. Rida, mis selle võimalikuks tegi, on Windowsi-põhine valija, mis kuulub Community 2 kliendile, ja uuem rakendus on teine programm, millel on teine volituste tee. Profiil on muutumatu peale selle ühe rea, ja just see teeb erinevuse raskesti nähtavaks.

Selles raportis aetakse segi kolm kihti: Community klient, põhiteek ja kasutajaliides, mille keegi paigaldas. Ainult üks neist mõistis kunagi seda direktiivi.

Mida valik tähendab seal, kus see olemas on

Windowsi Community OpenVPN 2 kliendis nimetab cryptoapicert sertifikaati, mille klient peaks leidma Windowsi sertifikaadisalvest, mitte failist. See on Windowsi-spetsiifiline mugavus ja see töötab, sest see klient oskab salve loetleda ja saadud võtme oma TLS-pinule anda. Seega on direktiiv osa selle kliendi konfiguratsioonikeelest, mitte OpenVPN protokolli omadus. Ülekandeformaadis ei kanna seda miski.

Kopeerige sama rida teise rakendusse ja olete kopeerinud sõna, mida uus programm võib parsida, eirata või tagasi lükata. Direktiiv ei ole protokolli funktsioon ja see ei ole isegi mitte iga kliendi funktsioon, mis räägib OpenVPN.

Mida põhiteek selle asemel pakub

OpenVPN 3 Core on teek, mille teised rakendused põimivad, ja see käsitleb väliseid volitusi API kaudu, mitte salve otsinguga. Põimiv rakendus annab sertifikaadiahela ja palub hiljem teegil välise võtmega allkirjastada ning teek kutsub selleks rakendusse tagasi. See on üldisem disain ja tähendab, et kasutajaliides otsustab, millised pakkujad olemas on. Teegi enda valikute töötlemises esineb cryptoapicert direktiivide hulgas, mida ei ole rakendatud, mis sobib selle vastutuse jaotusega.

Nende tagasikutsete olemasolu ei tähenda, et mõni pakendatud rakendus loetleb praeguse kasutaja isiklikku salve, toetab konkreetset võtmepakkujat või suudab nutikaardi päringu lõpule viia. Need on kasutajaliidese omadused ja igaüht neist peab kasutajaliides dokumenteerima.

Mida Windowsi kasutajaliides selle asemel teeb

OpenVPN Connect läheb teist teed: operaator impordib PKCS#12 faili, mis sisaldab sertifikaati ja selle privaatvõtit, selleks loodud OpenVPN Certificate Store'i, ja määrab seejärel välise sertifikaadi profiilile. See on teadlik impordi samm, mitte automaatne avastamine, mis isiklikus salves juhtub olema. Erinevus loeb siis, kui keegi eeldab, et muul otstarbel paigaldatud sertifikaat lihtsalt ilmub kliendi loendisse.

Impordil on tagajärg ka võtmepoliitikale, sest võtme eksportimine P12 faili on täpselt see, mida mitteeksporditav võti on loodud takistama. See on poliitika, mitte konfiguratsiooni küsimus, ja see väärib vastust enne, kui keegi importi proovib.

Valige tee, mis vastab võtme poliitikale

Kui volitus on eksporditav ja poliitika lubab dokumenteeritud importi, kasutage organisatsiooni kaitstud registreerimisprotsessi ning hoidke ajutine P12 ja selle parool logidest ja skriptidest eemal. Kui võti ei tohi kunagi nutikaardilt ega kaitstud pakkujalt lahkuda, valige kliendi ja pakkuja kombinatsioon, mis seda nõuet selgesõnaliselt toetab, või hankige müüjalt kinnitus paigaldatud versiooni kohta. Kumbki haru ei ole teise asendus.

Direktiivi profiili tagasi lisamine ei saa pakkuda integratsiooni, mida rakendusel ei ole. Ka uuem kliendiversioon ei lisa seda tingimata, sest võimekus kuulub kasutajaliidese enda disaini juurde.

Kui kohalik võti töötab, kontrollib server endiselt sertifikaadi identiteeti, ahelat ja autoriseerimist. Kasutatav kohalik võti ja aktsepteeritud VPN identiteet on eraldi tulemused ning nende eraldi hoidmine on see, mis takistab kasutajaliidese piirangu muutumist nõrgendatud sertifikaadipoliitikaks.