Por que dous certificados OpenVPN poden compartir unha política CCD

Unha CA pode asinar dous certificados que reciben a mesma OpenVPN configuración específica de cliente, e nada en ningún dos dous certificados avisa a ninguén. Os números de serie difiren, as claves difiren e os suxeitos completos tamén difiren cando cambia unha unidade organizativa. O servidor resolve a política por cliente mediante un só nome, e ese nome é o único que debe ser único.

O servidor resolve un nome, non un número de serie

Coa busca simple de certificados, o servidor toma o nome común do certificado presentado e busca unha entrada de client-config-dir con ese nome. O número de serie nunca entra na busca. Dous certificados que difiren en todos os campos agás o nome común acaban no mesmo ficheiro, así que a segunda conexión herda o enderezo fixo e as rutas enviadas do primeiro dispositivo.

Así é como unha comprobación de unicidade do lado da CA pasa mentres a VPN aínda colisiona. As dúas comprobacións responden a preguntas distintas.

Decida cal debe ser o nome efectivo antes de asinar nada e anóteo xunto ao dispositivo ou a conta ao que pertence. Un rexistro de nome, propietario, propósito e impresión do certificado cobre a maioría dos despregamentos. Sen un, o arquivo de certificados é o único rexistro de que nome pertence a que dispositivo, e ese arquivo non pode distinguir unha substitución autorizada dun segundo dispositivo que reclama un nome existente. Reserve o nome na inscrición, baixo un bloqueo se dous operadores poden emitir ao mesmo tempo.

Que nome usa realmente a asignación

A busca simple de certificados usa o nome común. Un servidor configurado para asignar un nome de usuario autenticado usa ese valor no seu lugar, o que fai que o nome común do certificado sexa irrelevante para a selección de política. Lea a configuración en execución para ver que asignación está vixente.

Ambas as asignacións poden estar presentes á vez, e entón o resultado depende da orde en que o servidor as resolve. Unha asignación de nome de usuario que recorre ao nome común aceptará en silencio un certificado que o rexistro nunca aprobou. Escriba o nome efectivo xunto á orde que o produciu para que o seguinte operador non teña que redescubrir a orde. Probar unha conexión por asignación é barato e resolve a cuestión.

Sexa o que sexa o que produza a asignación, ese é o valor que hai que reservar. Reservar nomes comúns na CA mentres o servidor se basea en nomes de usuario reserva o equivocado.

Dúas CA poden aprobar o mesmo nome

Un servizo de VPN pode confiar en máis dunha autoridade emisora, e cada autoridade ten a súa propia idea de que nomes están ocupados. Dúas CA independentes poden aprobar o mesmo nome común para dispositivos distintos, e o servidor acepta ambos os certificados sen queixa. Inventaríe cada autoridade do paquete de confianza, non só a que normalmente usa para emitir. O fallo aparece a primeira vez que se usa un certificado da segunda autoridade.

O mesmo razoamento se aplica a unha CA que impón a unicidade do suxeito completo en lugar da unicidade do nome común.

Dous certificados que comparten un nome común pero difiren en unidade organizativa teñen suxeitos distintos, así que a CA non informa de ningún conflito mentres o servidor ve un só nome. Comprobe a configuración que a súa ferramenta emisora usa realmente en lugar de supoñer un valor predeterminado. A xestión de unique_subject na documentación de openssl ca é a panca relevante alí, e os envoltorios ao redor desa ferramenta adoitan expoñela en lugar de substituíla.

A renovación é unha reutilización reservada, non unha colisión

Unha renovación que conserva o nome é unha reutilización deliberada, e o rexistro debería dicilo con palabras claras. Anote a impresión antiga e a nova baixo un só nome para que un revisor poida distinguir unha substitución dunha toma de control. A opción duplicate-cn do servidor non ten relación: goberna as sesións simultáneas, non a inscrición nin as reservas de nomes. Decida canto tempo poden existir ambas as credenciais e cando a antiga deixa de aceptarse.

Antes de entregar a substitución, relea que contén realmente o certificado. A liña de suxeito é o campo que o servidor asignará, diga o que diga o nome do ficheiro.

openssl x509 -in device42.crt -noout -subject -serial -issuer

A revocación normalmente identifica un certificado baixo o seu emisor, así que retirar un número de serie non afecta a unha substitución emitida correctamente pola mesma autoridade. Ese comportamento é exactamente o que necesita unha renovación limpa, e tamén é por iso que a revocación non pode limpar un nome compartido por dous dispositivos. Valide o nome efectivo da política e o enderezo asignado nunha conexión de proba antes de que o usuario vexa o dispositivo. Despois retire a credencial antiga a propósito e anote que o fixo.