Miért osztozhat két OpenVPN-tanúsítvány egyetlen CCD-szabályzaton

Egy CA aláírhat két tanúsítványt, amelyek ugyanazt a OpenVPN ügyfélspecifikus konfigurációt kapják, és semmi sem figyelmeztet senkit egyik tanúsítványban sem. A sorozatszámok eltérnek, a kulcsok eltérnek, és a teljes subjectek is eltérnek, amint egy szervezeti egység megváltozik. A kiszolgáló egyetlen név alapján dönti el az ügyfélszabályzatot, és ez a név az egyetlen dolog, aminek egyedinek kell lennie.

A kiszolgáló nevet old fel, nem sorozatszámot

Egyszerű tanúsítványkeresésnél a kiszolgáló a bemutatott tanúsítványból veszi a köznapi nevet, és egy ilyen nevű client-config-dir bejegyzést keres. A sorozatszám soha nem kerül be a keresésbe. Két tanúsítvány, amely minden mezőben eltér a köznapi név kivételével, ugyanabba a fájlba kerül, így a második kapcsolat örökli az első eszköz rögzített címét és továbbított útvonalait.

Így megy át a CA oldali egyediség-ellenőrzés, miközben a VPN mégis ütközik. A két ellenőrzés különböző kérdésekre válaszol.

Döntse el, mi legyen a tényleges név, mielőtt bármit aláír, és jegyezze fel az eszköz vagy fiók mellé, amelyhez tartozik. A név, tulajdonos, cél és tanúsítvány-ujjlenyomat nyilvántartása a telepítések többségét lefedi. Enélkül a tanúsítványarchívum az egyetlen nyilvántartás arról, melyik név melyik eszközhöz tartozik, és ez az archívum nem tudja megkülönböztetni az engedélyezett cserét egy második eszköztől, amely egy meglévő nevet követel. Foglalja le a nevet a regisztrációnál, zár alatt, ha két üzemeltető egyszerre állíthat ki.

Melyik nevet használja valójában a leképezés

Az egyszerű tanúsítványkeresés a köznapi nevet használja. A hitelesített felhasználónév leképezésére beállított kiszolgáló helyette azt az értéket használja, ami a tanúsítvány köznapi nevét lényegtelenné teszi a szabályzatválasztás szempontjából. Olvassa el a futó konfigurációt, hogy lássa, melyik leképezés van érvényben.

Mindkét leképezés jelen lehet egyszerre, és akkor az eredmény attól a sorrendtől függ, ahogyan a kiszolgáló feloldja őket. Egy köznapi névre visszaeső felhasználónév-leképezés csendben elfogad egy tanúsítványt, amelyet a nyilvántartás soha nem hagyott jóvá. Írja a tényleges nevet az őt előállító parancs mellé, hogy a következő üzemeltetőnek ne kelljen újra felfedeznie a sorrendet. Leképezésenként egy kapcsolat tesztelése olcsó, és eldönti a kérdést.

Bármit is állít elő a leképezés, az a lefoglalandó érték. Köznapi neveket foglalni a CA-ban, miközben a kiszolgáló felhasználónevekre támaszkodik, a rossz dolgot foglalja le.

Két CA jóváhagyhatja ugyanazt a nevet

Egy VPN-szolgáltatás egynél több kibocsátó hatóságban is bízhat, és minden hatóság a maga elképzelését őrzi arról, mely nevek foglaltak. Két független CA is jóváhagyhatja ugyanazt a köznapi nevet különböző eszközökhöz, és a kiszolgáló panasz nélkül elfogadja mindkét tanúsítványt. Leltározza fel a bizalmi csomag minden hatóságát, ne csak azt, ahonnan általában kibocsát. A hiba akkor jelenik meg először, amikor a második hatóság tanúsítványát használják.

Ugyanez az érvelés érvényes arra a CA-ra, amely a köznapi név egyedisége helyett a teljes subject egyediségét kényszeríti ki.

Két tanúsítvány, amely közös köznapi nevet visel, de szervezeti egységben eltér, különböző subjectekkel rendelkezik, így a CA nem jelez ütközést, miközben a kiszolgáló egy nevet lát. Ellenőrizze azt a beállítást, amelyet a kibocsátó eszköze valóban használ, ahelyett hogy alapértelmezést feltételezne. A unique_subject kezelése az openssl ca dokumentációjában a releváns kapcsoló ott, és az eszköz körüli burkolók általában feltárják azt ahelyett, hogy lecserélnék.

A megújítás fenntartott újrafelhasználás, nem ütközés

A nevet megtartó megújítás szándékos újrafelhasználás, és a nyilvántartásnak ezt egyszerű szavakkal kell kimondania. Jegyezze fel a régi és az új ujjlenyomatot egyetlen név alatt, hogy a bíráló meg tudja különböztetni a cserét az átvételtől. A kiszolgáló duplicate-cn beállítása nem ehhez tartozik: az egyidejű munkameneteket szabályozza, nem a regisztrációt vagy a névfoglalást. Döntse el, meddig létezhet mindkét hitelesítő adat, és mikor fogadják el többé a régit.

Mielőtt átadja a cserét, olvassa vissza, mi van valójában a tanúsítványban. A subject sor az a mező, amelyet a kiszolgáló leképez, bármit sugall is a fájlnév.

openssl x509 -in device42.crt -noout -subject -serial -issuer

A visszavonás általában a kibocsátója alatt azonosít egy tanúsítványt, így egy sorozatszám nyugdíjazása nem érinti ugyanazon hatóság helyesen kiadott cseréjét. Pontosan erre van szüksége egy tiszta megújításnak, és éppen ezért nem tudja a visszavonás rendbe tenni a két eszköz által megosztott nevet. Ellenőrizze a tényleges szabályzatnevet és a hozzárendelt címet egy tesztkapcsolaton, mielőtt a felhasználó látja az eszközt. Utána szándékosan nyugdíjazza a régi hitelesítő adatot, és jegyezze fel, hogy megtette.