Hvers vegna cryptoapicert mistekst í OpenVPN 3 og Connect á Windows

Þú afritar virku OpenVPN 2-sniðmáti inn í nýrri Windows-biðlara, og skírteinið sem gamli biðlarinn fann sjálfur er ekki lengur boðið. Línan sem gerði það mögulegt er Windows-sértækur valkostur sem tilheyrir Community 2-biðlaranum, og nýrra forritið er annað forrit með aðra slóð skilríkja. Sniðmátið er óbreytt nema þessi eina lína, og það er einmitt það sem gerir muninn erfitt að sjá.

Þrjú lög eru blönduð saman í þeirri skýrslu: Community-biðlarinn, kjarnasafnið og framendinn sem einhver setti upp. Aðeins eitt þeirra skildi fyrirmælin einhvern tíma.

Hvað valkosturinn þýðir þar sem hann er til

Í Community OpenVPN 2-biðlaranum á Windows tilnefnir cryptoapicert skírteini sem biðlarinn á að finna í skírteinageymslu Windows í stað skráar. Þetta er Windows-sértæk þægindi, og það virkar vegna þess að sá biðlari veit hvernig á að telja upp geymsluna og afhenda lykilinn sem verður til í eigin TLS-stakk. Fyrirmælin eru því hluti af stillingartungumáli þess biðlara, ekki eiginleiki OpenVPN-samskiptareglnanna. Ekkert í flutningssniðinu ber þau.

Afritaðu sömu línu í annað forrit og þú hefur afritað orð sem nýja forritið gæti þáttað, hunsað eða hafnað. Fyrirmæli eru ekki eiginleiki samskiptareglna, og þessi eru ekki einu sinni eiginleiki hvers biðlara sem talar OpenVPN.

Hvað kjarnasafnið býður í staðinn

OpenVPN 3 Core er safn sem önnur forrit byggja inn, og það meðhöndlar ytri skilríki í gegnum API í stað leitar í geymslu. Forritið sem byggir það inn útvegar skírteinakeðju og biður safnið síðar að undirrita með ytri lykli, og safnið kallar aftur í forritið til að gera það. Þetta er almennari hönnun, og það þýðir að framendinn ræður því hvaða veitur eru til. Í eigin valkostameðferð safnsins kemur cryptoapicert fram meðal fyrirmæla sem ekki eru útfærð, sem er í samræmi við þessa skiptingu ábyrgðar.

Tilvera þessara innkallana þýðir ekki að tiltekið pakkað forrit telji upp persónulega geymslu núverandi notanda, styðji tiltekna lykilveitu eða geti lokið snjókortsbeiðni. Þetta eru eiginleikar framendans, og hann verður að skjalfesta hvern þeirra.

Hvað Windows-framendinn gerir í staðinn

OpenVPN Connect fer aðra leið: stjórnandinn flytur inn PKCS#12-skrá sem inniheldur skírteinið og einkalykil þess inn í OpenVPN Certificate Store sem búið var til í þeim tilgangi, og úthlutar síðan ytra skírteininu til sniðmátsins. Þetta er viljandi innflutningsskref, ekki sjálfvirk uppgötvun á því sem kann að vera í persónulegu geymslunni. Greinin skiptir máli þegar einhver gerir ráð fyrir að skírteini sem sett var upp í öðrum tilgangi birtist einfaldlega á lista biðlarans.

Innflutningurinn hefur líka afleiðingar fyrir lykilstefnu, því að flytja lykil út í P12-skrá er einmitt það sem lykill sem ekki er útflytjanlegur á að koma í veg fyrir. Þetta er stefnumál en ekki stillingarmál, og það á skilið svar áður en einhver reynir innflutninginn.

Veldu slóð sem hentar stefnu lykilsins

Ef skilríkið er útflytjanlegt og stefnan leyfir skjalfesta innflutninginn, notaðu verndað skráningarferli stofnunarinnar og haltu tímabundnu P12 og lykilorði þess fyrir utan annála og skriftur. Ef lykillinn má aldrei yfirgefa snjókort eða verndaða veitu, veldu samsetningu biðlara og veitu sem styður þá kröfu berum orðum, eða fáðu staðfestingu frá söluaðilanum fyrir útgáfuna sem þú settir upp. Hvorug greinin er staðgengill fyrir hina.

Að setja fyrirmælin aftur í sniðmátið getur ekki veitt samþættingu sem forritið hefur ekki. Nýrri útgáfa biðlarans bætir þeim heldur ekki endilega við, því að hæfnin tilheyrir eigin hönnun framendans.

Þegar staðbundni lykillinn virkar athugar þjónninn enn auðkenni skírteinisins, keðjuna og heimildina. Notanlegur staðbundinn lykill og samþykkt VPN-auðkenni eru aðskildar niðurstöður, og að halda þeim aðskildum er það sem kemur í veg fyrir að takmörkun framendans verði að veikri skírteinastefnu.