Miért nem működik a cryptoapicert az OpenVPN 3-ban és a Connectben Windowson

Egy működő OpenVPN 2-profilt másol egy újabb Windows-ügyfélbe, és a régi ügyfél által magától megtalált tanúsítvány már nem ajánlott. A sor, amely ezt lehetővé tette, egy Windows-specifikus választó, amely a Community 2 ügyfélhez tartozik, az újabb alkalmazás pedig egy másik hitelesítőadat-útvonalú program. A profil változatlan ezen az egy soron kívül, és éppen ez teszi nehezen láthatóvá a különbséget.

Ebben a jelentésben három réteg keveredik: a Community ügyfél, a magkönyvtár és az a felület, amelyet valaki telepített. Közülük csak egy értette meg valaha az irányelvet.

Mit jelent a beállítás ott, ahol létezik

A Windowsos Community OpenVPN 2 ügyfélben a cryptoapicert olyan tanúsítványt nevez meg, amelyet az ügyfélnek a Windows tanúsítványtárolójában kell keresnie, nem fájlban. Ez Windows-specifikus kényelem, és azért működik, mert az az ügyfél tudja felsorolni a tárolót, és a kapott kulcsot átadni a saját TLS-stackjének. Az irányelv tehát az adott ügyfél konfigurációs nyelvének része, nem az OpenVPN protokoll tulajdonsága. A továbbítási formátumban semmi sem hordozza.

Másolja ugyanezt a sort egy másik alkalmazásba, és egy olyan szót másolt, amelyet az új program esetleg feldolgoz, figyelmen kívül hagy vagy elutasít. Az irányelv nem protokolljellemző, és ez még nem is minden olyan ügyfél jellemzője, amely OpenVPN beszél.

Mit tesz elérhetővé helyette a magkönyvtár

Az OpenVPN 3 Core olyan könyvtár, amelyet más alkalmazások beágyaznak, és a külső hitelesítő adatokat API-n keresztül kezeli, nem tárolókereséssel. A beágyazó alkalmazás tanúsítványláncot ad, majd később arra kéri a könyvtárat, hogy külső kulccsal írjon alá, a könyvtár pedig visszahívja ehhez az alkalmazást. Ez általánosabb tervezés, és azt jelenti, hogy a felület dönti el, mely szolgáltatók léteznek. A könyvtár saját beállításkezelésében a cryptoapicert a nem megvalósított irányelvek között jelenik meg, ami összhangban van ezzel a felelősségmegosztással.

Ezeknek a visszahívásoknak a léte nem jelenti azt, hogy egy adott csomagolt alkalmazás felsorolja a jelenlegi felhasználó személyes tárolóját, támogat egy adott kulcsszolgáltatót, vagy képes befejezni egy intelligenskártya-kérést. Ezek a felület tulajdonságai, és mindegyiket a felületnek kell dokumentálnia.

Mit tesz helyette a Windows felület

Az OpenVPN Connect más úton jár: az üzemeltető importál egy PKCS#12 fájlt, amely a tanúsítványt és annak titkos kulcsát tartalmazza, az erre a célra létrehozott OpenVPN Certificate Store-ba, majd hozzárendeli a külső tanúsítványt a profilhoz. Ez szándékos importálási lépés, nem annak automatikus felfedezése, ami éppen a személyes tárolóban van. A megkülönböztetés akkor számít, amikor valaki feltételezi, hogy egy más célra telepített tanúsítvány egyszerűen megjelenik az ügyfél listáján.

Az importálásnak a kulcspolitikára is következménye van, mert egy kulcs P12 fájlba exportálása éppen az, amit a nem exportálható kulcs meg kíván akadályozni. Ez politikai, nem konfigurációs kérdés, és választ érdemel, mielőtt bárki megkísérli az importálást.

Válasszon a kulcs politikájához illő utat

Ha a hitelesítő adat exportálható, és a politika engedi a dokumentált importálást, használja a szervezet védett regisztrációs folyamatát, és tartsa az ideiglenes P12-t és jelszavát naplókon és szkripteken kívül. Ha a kulcs soha nem hagyhat el egy intelligens kártyát vagy védett szolgáltatót, válasszon olyan ügyfél- és szolgáltatókombinációt, amely ezt a követelményt kifejezetten támogatja, vagy kérjen visszaigazolást a szállítótól a telepített verzióra. Egyik ág sem helyettesíti a másikat.

Az irányelv visszaadása a profilhoz nem nyújthat olyan integrációt, amellyel az alkalmazás nem rendelkezik. Egy újabb ügyfélverzió sem feltétlenül adja hozzá, mert a képesség a felület saját tervezéséhez tartozik.

Miután a helyi kulcs működik, a kiszolgáló továbbra is ellenőrzi a tanúsítvány identitását, a láncot és az engedélyezést. A használható helyi kulcs és az elfogadott VPN-identitás külön eredmény, és ezek szétválasztása az, ami megakadályozza, hogy egy felületi korlát meggyengült tanúsítványpolitikává váljon.