Miksi kaksi OpenVPN-varmentetta voivat jakaa yhden CCD-käytännön

CA voi allekirjoittaa kaksi varmentetta, jotka saavat saman OpenVPN asiakaskohtaisen kokoonpanon, eikä mikään kummassakaan varmenteessa varoita ketään. Sarjanumerot eroavat, avaimet eroavat ja täydet subjektit eroavat myös heti, kun organisaatioyksikkö muuttuu. Palvelin ratkaisee käytännön asiakaskohtaisesti yhden nimen kautta, ja tuo nimi on ainoa asia, jonka on oltava yksilöllinen.

Palvelin ratkaisee nimen, ei sarjanumeroa

Tavallisessa varmenteen haussa palvelin ottaa esitetyn varmenteen yleisnimen ja etsii client-config-dir-merkinnän sillä nimellä. Sarjanumero ei koskaan päädy hakuun. Kaksi varmentetta, jotka eroavat kaikissa kentissä paitsi yleisnimessä, päätyvät samaan tiedostoon, joten toinen yhteys perii ensimmäisen laitteen kiinteän osoitteen ja työnnetyt reitit.

Näin CA-puolen yksilöllisyystarkistus menee läpi, vaikka VPN törmää yhä. Kaksi tarkistusta vastaavat eri kysymyksiin.

Päätä, mikä tehokkaan nimen pitäisi olla, ennen kuin allekirjoitat mitään, ja kirjaa se sen laitteen tai tilin viereen, jolle se kuuluu. Rekisteri, jossa on nimi, omistaja, käyttötarkoitus ja varmenteen sormenjälki, kattaa useimmat käyttöönotot. Ilman sitä varmentearkisto on ainoa kirjaus siitä, mikä nimi kuuluu millekin laitteelle, eikä se arkisto pysty erottamaan valtuutettua vaihtoa toisesta laitteesta, joka vaatii olemassa olevaa nimeä. Varaa nimi ilmoittautumisen yhteydessä, lukon alla jos kaksi operaattoria voi myöntää samanaikaisesti.

Mitä nimeä yhdistäminen tosiasiassa käyttää

Tavallinen varmenteen haku käyttää yleisnimeä. Palvelin, joka on asetettu yhdistämään todennettu käyttäjänimi, käyttää sen sijaan tuota arvoa, mikä tekee varmenteen yleisnimestä merkityksettömän käytännön valinnan kannalta. Lue käynnissä oleva kokoonpano nähdäksesi, mikä yhdistäminen on voimassa.

Molemmat yhdistämiset voivat olla läsnä yhtä aikaa, ja silloin tulos riippuu siitä järjestyksestä, jossa palvelin ne ratkaisee. Käyttäjänimen yhdistäminen, joka palaa yleisnimeen, hyväksyy hiljaa varmenteen, jota rekisteri ei koskaan hyväksynyt. Kirjoita tehokas nimi sen tuottaneen komennon viereen, jotta seuraavan operaattorin ei tarvitse löytää järjestystä uudelleen. Yhden yhteyden testaaminen yhdistämistä kohden on halpaa ja ratkaisee kysymyksen.

Mitä tahansa yhdistäminen tuottaakaan, se on varattava arvo. Yleisnimien varaaminen CA:ssa, kun palvelin nojaa käyttäjänimiin, varaa väärän asian.

Kaksi CA:ta voivat hyväksyä saman nimen

VPN-palvelu voi luottaa useampaan kuin yhteen myöntävään viranomaiseen, ja kullakin viranomaisella on oma käsityksensä siitä, mitkä nimet on varattu. Kaksi riippumatonta CA:ta voivat molemmat hyväksyä saman yleisnimen eri laitteille, ja palvelin hyväksyy molemmat varmenteet valittamatta. Luetteloi jokainen luottamuspaketin viranomainen, ei vain se, josta yleensä myönnät. Vika ilmenee ensimmäisen kerran, kun toisen viranomaisen varmennetta käytetään.

Sama päättely pätee CA:han, joka vaatii täyden subjektin yksilöllisyyttä yleisnimen yksilöllisyyden sijaan.

Kahdella varmenteella, joilla on yhteinen yleisnimi mutta eri organisaatioyksikkö, on eri subjektit, joten CA ei raportoi ristiriitaa, kun taas palvelin näkee yhden nimen. Tarkista asetus, jota myöntämistyökalusi todella käyttää, sen sijaan että olettaisit oletusarvon. unique_subject-käsittely openssl ca -dokumentaatiossa on siinä relevantti vipu, ja kyseisen työkalun ympärillä olevat kääreet tavallisesti paljastavat sen sen sijaan että korvaisivat sen.

Uusiminen on varattu uudelleenkäyttö, ei törmäys

Uusiminen, joka säilyttää nimen, on tarkoituksellinen uudelleenkäyttö, ja rekisterin tulisi sanoa se selvästi. Kirjaa vanha sormenjälki ja uusi saman nimen alle, jotta arvioija voi erottaa vaihdon valtauksesta. Palvelimen duplicate-cn-asetus ei liity tähän: se ohjaa samanaikaisia istuntoja, ei ilmoittautumista tai nimien varaamista. Päätä, kuinka kauan molemmat tunnukset voivat olla olemassa ja milloin vanhaa ei enää hyväksytä.

Ennen kuin luovutat vaihdon, lue takaisin, mitä varmenne todella sisältää. Subjektirivi on kenttä, jonka palvelin yhdistää, mitä tahansa tiedostonimi antaa ymmärtää.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Peruutus tunnistaa varmenteen yleensä sen myöntäjän alta, joten yhden sarjanumeron poistaminen käytöstä ei vaikuta saman viranomaisen oikein myöntämään vaihtoon. Juuri tätä käytöstä puhdas uusiminen tarvitsee, ja juuri siksi peruutus ei voi siivota nimeä, jonka kaksi laitetta jakaa. Validoi tehokas käytäntönimi ja määritetty osoite testiyhteydellä ennen kuin käyttäjä näkee laitteen. Poista sitten vanha tunnus tarkoituksella käytöstä ja kirjaa, että teit niin.