Izen komun bat, bi ziurtagiri: baimenduen zerrenda edo ezeztatzea?

Ordenagailu eramangarri baten ziurtagiria izen komun berarekin berriro igortzea ordezkapen bat ematen du, eta denek uste dute zaharra hilda dagoela. Ez dago. Aurrekoak baliozko ziurtagiri izaten jarraitzen du, autoritate berak sinatua, eta bezeroak izenez onartzen dituen edozein kontrolak onartzen jarraituko du. Identitate-egiaztapena kredentzial-egiaztapenetik bereizten duena serie-zenbakia da, eta han dagokio konponketari.

Hasi zerbitzariak erabiltzen duen izendapen-politikarekin

Bi kontrol nahasten dira: bezero bat onartzea nor dela dioen arabera, eta ziurtagiri zehatz bat zerbitzutik kentzea. Lehena izen-egiaztapena da, bigarrena ezeztatze-egiaztapena. Galdera desberdinei erantzuten diete, eta hedapen batek bat izan dezake bestea gabe.

Irakurri zerbitzariaren konfigurazioa eta ohartu zein identitate-iturri dagoen jokoan. username-as-common-name autentifikatutako erabiltzaile-izena bezeroaren araberako bilaketen izen eraginkorra bihurtzen du. Hori gabe, ziurtagiriko subjektuaren izen komuna erabiltzen da. Erantzuna edozein dela ere, idatzi ezazu baimenduen zerrendaren bat ukitu aurretik.

Bi bideek ziurtagiri bererako baimendutako izenen multzo desberdina sortzen dute. Hemen asmatzeak fitxategi okerra editatu eta kontrola ez dabilela ondorioztatzea esan nahi du.

Egiaztatu zer onartzen duen bezero bat benetan

Fitxategi bat datorren client-config-dir bezero bakoitzeko aukerak eskaintzen ditu; bere horretan ez da onarpen-arau bat. Izenez onartzeko behar da ccd-exclusive, eta honek fitxategi egokirik ez duten bezeroak ukatzen ditu. Hori zuzeneko hedapen batean gaitzeak izenarekin fitxategirik ez duen guztia deskonektatzen du, beraz zenbatu fitxategiak ezer aldatu aurretik.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Zenbaketak dira egiaztapena: alderatu direktorioaren zerrenda konektatzea espero dituzun identitateekin.

Gero egiaztatu fitxategi-izen bakoitzak identitate eraginkorrarekin zehazki bat egiten duela, letra larriak eta xeheak eta tarteak barne. Fitxategi bat office-laptop izenekoarentzat ez du ezer egiten subjektuak Office-Laptop dioen ziurtagiri baterako. Amaierako zuriuneak ere zerrenda arruntetik ezkutatzen dira, eta horrela presentzia duela dirudien fitxategia irakurri gabe geratzen da.

Egiaztatu atebideak kargatzen duen CRL-a

CRL batek ezeztatutako ziurtagiriak igorlearen eta serie-zenbakiaren arabera izendatzen ditu, eta hori da izen-egiaztapenari falta zaion xehetasuna. Bi ziurtagirik izen komuna parteka dezakete eta serie-zenbakian desberdin, eta serie-zenbaki mailako zerrenda batek soilik bereizten ditu.

Egiaztatu konfiguratutako bidea, igorpen-data eta hurrengo eguneratzearen eremua fitxategiaz fidatu aurretik.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Alderatu CRL-ko serie-zenbakia gordetzeko asmo duzun ziurtagiriko serie-zenbakiarekin. Konparazio hori da proba osoa, eta behin begiz egitea inork irakurri ez duen script batez fidatzea baino baliotsuagoa da. Banatu eguneratutako CRL atebideak jada irakurtzen duen bidetik. Direktorio okerrean dagoen CRL batek ez du ezer behartzen, eta bezeroen erregistro batek ere ez du aipatuko.

Ordeztu, eta gero frogatu bi emaitzak

Igorri ordezkapena izen komun berarekin, erregistratu bi serie-zenbakiak, eta soilik orduan ezeztatu zaharra. Ordena horrek identitate funtzional bat eskuragarri mantentzen du aldaketa prestatzen duzun bitartean.

Probatu lehenik ordezkapena: autentifikatu eta bere izenak duen eskubide guztietara iritsi behar du. Gero probatu ziurtagiri zaharra eta egiaztatu ukatzen dela, ordezkapen arrakastatsu batek ez baitu ezeztatzeari buruz ezer esaten. Biak oraindik konektatzen badira, ezeztatze-sarrera ez da irakurtzen edo serie-zenbaki zaharra ez zen inoiz zerrendatu. Bat ere konektatzen ez bada, onarpen-araua hautsi duzu, ez kredentziala.

Dagoeneko ezarritako saioak kontu bereizia dira, ezeztatzea autentifikazio berriei aplikatzen baitzaie, atebidea zuzeneko konexioak botatzeko ere konfiguratuta ez badago behintzat. Erabaki berehalako kentzea beharrezkoa den inori prometatu aurretik.

Izen-egiaztapenak inoiz egin ezin duena

Baimenduen zerrenda batek identitate hori konektu daitekeen erantzuten du. Ezin du esan identitate horrek zein ziurtagiri erabili zuen, eta kredentzial zaharrago bat onartuko du kredentziala baliozkoa eta ezeztatu gabea den bitartean. Hutsune hori gertakari batean agertzen da, ordezkapena hilabeteak lehenago igorri zenean eta aurrekoa oraindik funtzionatzen duenean.

Ziurtagiri mailako kontrola behar den lekuan, erabili ziurtagiria izendatzen duen mekanismo bat: CRL sarrerak, edo operadoreak mantentzen duen hatz-marka bat egiaztatzen duen egiaztapen-hook bat. Biek mantentze-lana eskatzen dute, eta biek zintzoak dira aztertzen duten objektuarekin. OpenVPN 2.6 eskuliburuak dokumentatzen ditu crl-verify eta bezeroaren berariazko onarpena aukera bereizi gisa, horrexegatik.

Idatzi zein kontrolak zein lan egiten duen, eta gero probatu kasu negatiboa. Inoiz konexio bat ukatzen ikusi ez duzun ezeztatze bat funtzionatuko duela espero duzun konfigurazio bat da.