Yksi yhteinen nimi, kaksi varmennetta: sallittujen lista vai mitätöinti?

Kannettavan tietokoneen varmenteen uudelleenmyöntäminen samalla yhteisellä nimellä tuntuu korvaamiselta, ja kaikki olettavat vanhan kuolleen. Se ei ole. Edeltäjä pysyy saman viranomaisen allekirjoittamana voimassa olevana varmenteena, ja mikä tahansa hallinta, joka hyväksyy asiakkaat nimen perusteella, hyväksyy sen edelleen. Identiteettitarkistuksen ja tunnistetietojen tarkistuksen erottaa sarjanumero, ja korjaus kuuluu sinne.

Aloita palvelimen käyttämästä nimeämiskäytännöstä

Kaksi hallintaa sekoittuu: asiakkaan hyväksyminen sen perusteella, keneksi se väittää itseään, ja yhden tietyn varmenteen poistaminen käytöstä. Ensimmäinen on nimitarkistus, toinen mitätöintitarkistus. Ne vastaavat eri kysymyksiin, ja käyttöönotossa voi olla toinen ilman toista.

Lue palvelimen kokoonpano ja pane merkille, mikä identiteettilähde on pelissä. username-as-common-name tekee todennetusta käyttäjänimestä tehokkaan nimen asiakaskohtaisiin hakuihin. Ilman sitä käytetään varmenteen subjektin yhteistä nimeä. Mikä vastaus onkin, kirjoita se muistiin ennen kuin kosket mihinkään sallittujen listaan.

Kaksi polkua tuottavat eri joukon sallittuja nimiä samalle varmenteelle. Tässä arvaaminen tarkoittaa väärän tiedoston muokkaamista ja johtopäätöstä, ettei hallinta toimi.

Tarkista, mikä asiakkaan todella hyväksyy

Vastaavan tiedoston omaava client-config-dir tarjoaa asiakaskohtaisia valintoja; yksinään se ei ole hyväksymissääntö. Nimen perusteella hyväksyminen vaatii ccd-exclusive, joka hylkää asiakkaat, joilla ei ole vastaavaa tiedostoa. Sen ottaminen käyttöön tuotantoympäristössä katkaisee kaikki, joiden nimellä ei ole tiedostoa, joten laske tiedostot ennen kuin muutat mitään.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Lukumäärä on tarkistus: vertaa hakemiston listausta identiteetteihin, joiden odotat yhdistävän.

Vahvista sitten, että jokainen tiedostonimi vastaa täsmälleen tehokasta identiteettiä, mukaan lukien kirjainkoko ja välilyönnit. Tiedosto nimelle office-laptop ei tee mitään varmenteelle, jonka subjekti on Office-Laptop. Myös perässä olevat välilyönnit piiloutuvat tavalliselta listaukselta, ja niin näennäisesti olemassa oleva tiedosto jää lukematta.

Tarkista CRL, jonka yhdyskäytävä lataa

CRL nimeää mitätöidyt varmenteet myöntäjän ja sarjanumeron mukaan, mikä on se tarkkuus, jota nimitarkistukselta puuttuu. Kaksi varmennetta voivat jakaa yhteisen nimen ja erota sarjanumerossa, ja vain sarjanumerotason lista erottaa ne.

Vahvista määritetty polku, myöntämispäivä ja seuraavan päivityksen kenttä ennen kuin luotat tiedostoon lainkaan.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Vertaa CRL:n sarjanumeroa sen varmenteen sarjanumeroon, jonka aiot pitää. Tämä vertailu on koko testi, ja sen tekeminen kerran silmämääräisesti on arvokkaampaa kuin luottaa skriptiin, jota kukaan ei ole lukenut. Jaa päivitetty CRL polkua pitkin, jota yhdyskäytävä jo lukee. Väärässä hakemistossa oleva CRL ei pakota mitään, eikä mikään asiakasloki mainitse sitä.

Korvaa ja todista sitten molemmat tulokset

Myönnä korvaava varmenne samalla yhteisellä nimellä, kirjaa molemmat sarjanumerot ja vasta sitten mitätöi vanha. Tämä järjestys pitää toimivan identiteetin saatavilla, kun valmistelet muutosta.

Testaa ensin korvaava: sen pitäisi todentaa itsensä ja päästä kaikkeen, mihin sen nimi oikeuttaa. Testaa sitten vanha varmenne ja vahvista, että se hylätään, koska onnistunut korvaaminen ei kerro mitään mitätöinnistä. Jos molemmat yhä yhdistävät, mitätöintisyötettä ei lueta tai vanhaa sarjanumeroa ei koskaan listattu. Jos kumpikaan ei yhdistä, olet rikkonut hyväksymissääntöä, et tunnistetietoa.

Jo muodostetut istunnot ovat eri asia, koska mitätöinti koskee uusia todennuksia, ellei yhdyskäytävää ole myös määritetty pudottamaan eläviä yhteyksiä. Päätä, tarvitaanko välitöntä poistoa, ennen kuin lupaat sitä kenellekään.

Mitä nimitarkistus ei voi koskaan tehdä

Sallittujen lista vastaa siihen, saako tämä identiteetti yhdistää. Se ei voi kertoa, mitä varmennetta tämä identiteetti käytti, ja se hyväksyy vanhemman tunnistetiedon niin kauan kuin tunnistetieto pysyy voimassa eikä mitätöitynä. Tämä aukko paljastuu tapahtuman aikana, kun korvaava myönnettiin kuukausia sitten ja edeltäjä toimii edelleen.

Kun tarvitaan varmentetason hallintaa, käytä mekanismia, joka nimeää varmenteen: CRL-merkinnät tai vahvistuskoukku, joka tarkistaa sormenjäljen, jota operaattori ylläpitää. Molemmat vaativat ylläpitoa, ja molemmat ovat rehellisiä tutkimastaan kohteesta. OpenVPN 2.6 -käsikirja dokumentoi crl-verify ja asiakaskohtaisen hyväksynnän erillisinä valintoina juuri tästä syystä.

Kirjoita muistiin, mikä hallinta tekee minkä työn, ja testaa sitten kielteinen tapaus. Mitätöinti, jonka et ole koskaan nähnyt hylkäävän yhteyttä, on kokoonpano, jonka toivot toimivan.