Zertan egiaztatzen du zure VPN bezeroak ziurtagiria fidatu aurretik

Zure VPN bezeroak dio ziurtagiria ezin izan dela egiaztatu, eta elkarrizketa hor amaitu da. Fitxategia han dago, zerbitzaria martxan dago, eta profil berak joan den hilabetean beste ordenagailu eramangarri batean funtzionatu zuen. Abisu bateko lerro horren azpian bezeroak parekidearen ziurtagiria lau atebarretatik pasa zuen: zuk konfiguratutako ziurtagiri-autoritate batek sinadura-bidea bermatzen du, bide hori autoritatera iristen da, parekidearen izena eskatu zenuena da, eta ziurtagiria orain helburu honetarako erabilgarria da. Itxita geratu den atebarra aurkitu, eta konponketa normalean fitxategi bat da; pauso hori saltatzen baduzu, arratsalde osoa paketeak berriro inportatzen emango duzu.

Irakurri elkarrizketa profila editatu aurretik

Ziurtagiri-erroreen testua azpiko liburutegiak idazten du, ez instalatu zenuen VPN produktuak, beraz kate zehatza da zure lehen froga. «Ezin da tokiko jaulkitzailearen ziurtagiria lortu» bideari edo konfiantza-aingurari begira dago. «Ziurtagiriak iraungi du edo oraindik ez da baliozkoa» denborari begira dago. «Ziurtagiriaren helburua ez da onartzen» gakoaren erabilera hedatuari begira dago. Izenaren desadostasunak esaten dizu zein izen nahi zuen. Lauetatik bat ere ez da konpontzen bezeroa berriro instalatuta.

Igo erregistro-maila ezer aldatu aurretik. OpenVPN egiaztapen-hutsegitea eskuko osasunaren inguruan jakinarazten du --verb 4 aukerarekin exekutatzen duzunean, eta strongSwanek bere identitate- eta kate-erabakiak charon erregistroan idazten ditu. Ondoren egiaztatu zein ziurtagiri ari zaren aztertzen, jendeak diskoan dagoen fitxategia probatzen baitu ohituki, profilean kopia zaharragoa txertatzen den bitartean. Profilak PEM blokeak txertatzen dituenean, txertatutako ziurtagiria da probatzen dena.

Ziurtagiri-autoritate batek identitateak sinatzen ditu, ez baimenak

Autoritateak izen bat eta sinadura-gako bat ditu. Bere politikaren arabera izen horri gako publikoa lotzen dioten ziurtagiriak jaulkitzen ditu, baliozkotasun-leiho eta erabilera-murrizketekin. Zure bezeroak autoritatearen ziurtagiria soilik behar du jaulkitzailea ezagutzeko; inoiz ez du sinadura-gakoa behar, eta gako hori bezeroei bidaltzeak inplementazioak fidatzen duen edozein identitate sortzeko gaitasuna emango lieke.

Autoritate batean fidatzeak hark sinatutako ziurtagiri guztiak hautagai bihurtzen ditu, ez parekide egokia. Barneko CA beraren web zerbitzari baten ziurtagiria ere hautagaia da. Horregatik daude izen- eta helburu-atebarrak, eta horregatik CA gako konprometitu batek edozein zerbitzari bakarrek baino gehiago balio du: autoritateak inoiz jaulkitako identitate bakoitzera iristen da. Banatu bezero-ziurtagiriak gailu bakoitzeko, ordenagailu eramangarri galdu bat indarrik gabetze bakarra izan dadin, inplementazio osoko gako-berritzea izan beharrean.

Berreraiki bezeroak eraikitzen saiatzen ari den bidea

Bidea parekidearen ziurtagiritik abiatzen da, zero edo gehiago tarteko ziurtagirietatik igaro eta zure konfiantza-biltegiko erro batera iristen da. Falta den tarteko ziurtagiria kate-hutsegite ohikoena da, eta bezeroaren aldetik erro ez-fidagarri baten berdin ikusten da. Irakurri hostoa lehenengo, eta gero utzi OpenSSLri bidea bidaltzeko asmo duzun materialetik eraikitzen.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Irteera-egoera zeroak esan nahi du bidea fitxategi horietatik eraiki zela; hutsegite batek iritsi ezin zen ziurtagiria izendatzen du. openssl verify arrakastatsua bada bezeroak ukatzen jarraitzen duen bitartean, aldea zerbitzariak benetan bidaltzen duenean edo profilek zein konfiantza-fitxategi kargatzen duen dago. OpenVPNn tartekoek zerbitzariaren ziurtagiri-fitxategiarekin batera joan daitezke edo --extra-certs bidez bereizita eman, eta subjektu-izen beraren pean idatzitako bi erro dituen pakete batek zure bezeroetako bat adar okerretik bidaliko du.

Izena eta helburua ate-barrak bereiziak dira

Katearen eraiketak ez du inoiz galdetzen izena zurea den. OpenVPNk soilik egiaztatzen du profilek --verify-x509-name ezartzen duenean, eta izen arrunta bakarrik parekatzeko ohitura zaharra subjectAltNamen bizi diren identitateak dituzten ziurtagirietan hausten da. IKEv2 inplementazioek konfiguratutako identitatea SAN sarrerekin edo izen bereiziarekin parekatzen dute, bezeroaren arabera, eta komodin edo %any balio batek isilik desaktibatzen du zuk zeneukan ustez zen konparazioa.

Ondoren denbora eta helburua datoz. Erlojua ordu batzuk aurreratuta duen ordenagailu eramangarri batek oraindik baliozkoa ez den ziurtagiria baztertzen du, eta iraungitako tarteko ziurtagiri batek bidea hondatzen du hostoa indarrean dagoen bitartean. Helburu-hutsegiteak gakoaren erabilera hedatuaren barruan serverAuth ez duen ziurtagiri batetik datoz, edo eskuko osasunaren sinadura onartzen ez duen keyUsage batetik, eta OpenSSLk onartzen ez den ziurtagiri-helburu gisa jakinarazten du. Berrjaulki txantiloi egokitik; mezu horretan ez dago egiaztapena desaktibatzeko arrazoirik.

Indarrik gabetzea norbaiten konfiguratu duenean soilik exekutatzen da

CRL edo OCSP erantzun bat ez da automatikoki kontsultatzen. OpenVPN zerbitzari batean, bezero-ziurtagiriak zerrenda baten aurka egiaztatzen dira soilik --crl-verify bat seinalatzen duenean. Zerbitzariaren ziurtagiriaren bezero-aldeko egiaztapena inplementazioaren araberakoa da eta sarritan falta da. strongSwanek bere indarrik gabetze-plugin eta politika bat behar ditu parekide baterako CRLrari begiratu aurretik.

Hori dela eta jasoko duzun txartela: indargabetutako bezero-ziurtagiri bat oraindik konektatzen da, eta denek ondorioztatzen dute indarrik gabetzea hondatuta dagoela. Ezer ez zegoen egiaztatzen. Argitaratu eta freskatu CRLa, edo eduki bezero-ziurtagiriak nahikoa bizitza laburrekoak indarrik gabetze zaharkitu batek gutxi iraun dezan, eta praktikatu indarrik gabetze-bidea laborategiko ziurtagiri batekin, intzidente batean behar izan aurretik.

Egiaztapena piztuta mantentzen duen konponketa-ordena

Sailkatu sintomaren arabera fitxategiei ukitu aurretik, taulako lerro bakoitzak objektu desberdin batera bidaltzen zaitu eta.

Egin zerrenda pase bakarrean: egiaztatu profilek kargatzen duen fitxategia, eraiki bidea zeuk, egiaztatu zerbitzariak tarteko ziurtagiria bidaltzen duen, konparatu erlojua, irakurri SANa, irakurri EKUa, gero berriro konektatu eta ikusi erregistro-lerro bera desagertzen. Gailu bati CA bat eman ezin bazaio, pinning da alternatiba zintzoa, OpenVPN 2.6 bertsioak --peer-fingerprint onartzen baitu eta konfiantza gako bakarrera murrizten du egiaztapena kendu beharrean. RFC 5280 da eremu horietako bakoitzak zer esan nahi duen erreferentzia.