Ien mienskiplike namme, twa sertifikaten: tasteanlist of weromlûke?

It opnij útjaan fan in laptop-sertifikaat ûnder deselde mienskiplike namme fielt as in ferfanging, en elkenien nimt oan dat de âlde dea is. Dat is net sa. De foargonger bliuwt in jildich sertifikaat dat troch deselde autoriteit ûndertekene is, en elke kontrôle dy’t kliïnten by namme talit, sil it bliuwend talitte. Wat in identiteitskontrôle fan in bewiis-kontrôle skiedt, is it searjenûmer, en dêr heart de repaaraasje.

Begjin mei it nammebelied dat de tsjinner brûkt

Twa kontrôles wurde trochinoar helle: in kliïnt talitte om wa't er seit te wêzen, en ien bepaald sertifikaat út tsjinst nimme. De earste is in namme-kontrôle, de twadde is in weromlûk-kontrôle. Se beantwurdzje ferskate fragen, en in ynset kin de iene hawwe sûnder de oare.

Lês de tsjinnerkonfiguraasje en notearje hokker identiteitsboarne yn it spul is. username-as-common-name makket de autentisearre brûkersnamme de effektive namme foar kliïnt-spesifike sykopdrachten. Sûnder dat wurdt de mienskiplike namme fan it ûnderwerp út it sertifikaat brûkt. Wat it antwurd ek is, skriuw it op foardat jo in tasteanlist oanreitsje.

De twa paden jouwe in oare set tastiene nammen foar itselde sertifikaat. Hjir riede betsjut it ferkearde bestân bewurkje en konkludearje dat de kontrôle net wurket.

Kontrolearje wat in kliïnt eins talit

In client-config-dir mei in oerienkommend bestân leveret opsjes per kliïnt; op himsels is it gjin talittingsregel. Talitting by namme freget ccd-exclusive, dy’t kliïnten sûnder oerienkommend bestân wegeret. Dat ynskeakelje op in libbene ynset ferbrekt elkenien waans namme gjin bestân hat, dus tel de bestannen foardat jo eat omsette.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

It oantal is de kontrôle: fergelykje de mapynhâld mei de identiteiten dy’t jo ferwachtsje te ferbinen.

Befêstigje dan dat elke bestânsnamme krekt oerienkomt mei de effektive identiteit, ynklusyf haadletters en spaasjes. In bestân foar office-laptop docht neat foar in sertifikaat wêrfan it ûnderwerp Office-Laptop lêst. Efterste spaasjes ferstopje har ek foar in gewoane list, en sa bliuwt in bestân dat oanwêzich liket ûnlêzen.

Kontrolearje de CRL dy’t de poarte lâdt

In CRL neamt weromlutsen sertifikaten by útjouwer en searjenûmer, wat de details is dy’t in namme-kontrôle mist. Twa sertifikaten kinne in mienskiplike namme diele en yn searjenûmer ferskille, en allinnich in list op searjenûmer-nivo skiedt se.

Befêstigje it konfigurearre paad, de útjefdatum en it fjild foar folgjende bywurking foardat jo it bestân hielendal fertrouwe.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Fergelykje it searjenûmer yn de CRL mei it searjenûmer op it sertifikaat dat jo hâlde wolle. Dy fergeliking is de hiele test, en it ien kear mei it each dwaan is mear wurdich as fertrouwe op in skript dat nimmen lêzen hat. Ferspriede de bywurke CRL fia it paad dat de poarte al lêst. In CRL yn ’e ferkearde map twingt neat ôf, en gjin kliïntlogboek sil it neame.

Ferfange, en bewize dan beide útkomsten

Jou de ferfanging út ûnder deselde mienskiplike namme, registrearje beide searjenûmers, en weromlûk dan pas de âlde. Dy folchoarder hâldt in wurkjende identiteit beskikber wylst jo de feroaring tariede.

Test de ferfanging earst: it moat autentisearje en berikke wat syn namme rjocht op hat. Test dan it âlde sertifikaat en befêstigje dat it wegere wurdt, want in slagge ferfanging seit neat oer weromlûken. As beide noch ferbine, wurdt de weromlûk-ynput net lêzen of it âlde searjenûmer is nea list wurden. As gjinien ferbynt, hawwe jo de talittingsregel brutsen, net it bewiis.

Sesjes dy’t al oprjochte binne, binne in aparte saak, want weromlûken jildt foar nije autentikaasjes, útsein as de poarte ek konfigurearre is om libbene ferbiningen te ferbrekken. Beslis oft direkte ferwidering nedich is foardat jo it immen ta sizze.

Wat in namme-kontrôle nea kin

In tasteanlist beantwurdet oft dizze identiteit ferbine mei. It kin net sizze hokker sertifikaat dy identiteit brûkt hat, en it sil in âlder bewiis talitte salang't it bewiis jildich en net weromlutsen bliuwt. Dat gat komt oan it ljocht by in ynsidint, as de ferfanging moannen lyn útjûn is en de foargonger noch wurket.

Wêr't kontrôle op sertifikaat-nivo nedich is, brûk in meganisme dat it sertifikaat neamt: CRL-ynfieringen, of in ferifikaasje-hook dy’t in fingerôfdruk kontrolearret dy’t de operator ûnderhâldt. Beide kostje ûnderhâld, en beide binne earlik oer it objekt dat se ûndersykje. It OpenVPN 2.6-hânboek dokumintearret crl-verify en kliïnt-spesifike talitting as aparte opsjes om dy reden.

Skriuw op hokker kontrôle hokker wurk docht, en test dan it negative gefal. In weromlûken dat jo nea in ferbining wegere hawwe sjoen, is in konfiguraasje dêr't jo hoopje dat er wurket.