რატომ შეიძლება ორმა OpenVPN სერტიფიკატმა ერთი CCD პოლიტიკა გაიზიაროს

CA-ს შეუძლია ორ სერტიფიკატს მოაწეროს ხელი, რომლებიც იღებენ იმავე OpenVPN კლიენტისთვის სპეციფიკურ კონფიგურაციას, და არც ერთ სერტიფიკატში არაფერი არ აფრთხილებს არავის. სერიული ნომრები განსხვავდება, გასაღებები განსხვავდება, და სრული სუბიექტებიც განსხვავდება, როგორც კი ორგანიზაციული ერთეული შეიცვლება. სერვერი თითო კლიენტის პოლიტიკას ერთი სახელის მეშვეობით წყვეტს, და ეს სახელი ერთადერთია, რაც უნიკალური უნდა იყოს.

სერვერი სახელს წყვეტს, არა სერიულ ნომერს

ჩვეულებრივი სერტიფიკატის ძიებისას სერვერი წარმოდგენილი სერტიფიკატიდან იღებს საერთო სახელს და ეძებს ამ სახელის client-config-dir ჩანაწერს. სერიული ნომერი ძიებაში არასდროს შედის. ორი სერტიფიკატი, რომლებიც ყველა ველში განსხვავდება საერთო სახელის გარდა, ერთსა და იმავე ფაილში ხვდება, ამიტომ მეორე კავშირი მემკვიდრეობით იღებს პირველი მოწყობილობის ფიქსირებულ მისამართს და გაგზავნილ მარშრუტებს.

ასე გადის CA-ს მხარის უნიკალურობის შემოწმება, მაშინ როცა VPN მაინც ეჯახება. ორი შემოწმება სხვადასხვა კითხვას პასუხობს.

გადაწყვიტეთ, როგორი უნდა იყოს ეფექტური სახელი, სანამ რაიმეს მოაწერეთ ხელი, და ჩაწერეთ იგი იმ მოწყობილობის ან ანგარიშის გვერდით, რომელსაც ეკუთვნის. სახელის, მფლობელის, დანიშნულებისა და სერტიფიკატის თითის ანაბეჭდის რეესტრი უმეტეს განლაგებას ფარავს. მის გარეშე სერტიფიკატების არქივი ერთადერთი ჩანაწერია იმისა, თუ რომელი სახელი რომელ მოწყობილობას ეკუთვნის, და ეს არქივი ვერ გაარჩევს ავტორიზებულ ჩანაცვლებას მეორე მოწყობილობისგან, რომელიც არსებულ სახელს ითხოვს. დაჯავშნეთ სახელი რეგისტრაციისას, ბლოკირების ქვეშ, თუ ორ ოპერატორს შეუძლია ერთდროულად გაცემა.

რომელ სახელს იყენებს ასახვა რეალურად

ჩვეულებრივი სერტიფიკატის ძიება იყენებს საერთო სახელს. სერვერი, რომელიც დაყენებულია ავთენტიფიცირებული მომხმარებლის სახელის ასახვაზე, სამაგიეროდ იყენებს ამ მნიშვნელობას, რაც სერტიფიკატის საერთო სახელს პოლიტიკის არჩევისთვის უმნიშვნელოს ხდის. წაიკითხეთ მოქმედი კონფიგურაცია, რომ ნახოთ რომელი ასახვაა ძალაში.

ორივე ასახვა შეიძლება ერთდროულად არსებობდეს, და მაშინ შედეგი დამოკიდებულია იმ თანმიმდევრობაზე, რომლითაც სერვერი მათ წყვეტს. მომხმარებლის სახელის ასახვა, რომელიც უკან იხევს საერთო სახელზე, ჩუმად მიიღებს სერტიფიკატს, რომელიც რეესტრს არასდროს დაუმტკიცებია. ჩაწერეთ ეფექტური სახელი იმ ბრძანების გვერდით, რომელმაც ის წარმოქმნა, რათა შემდეგ ოპერატორს თანმიმდევრობის ხელახლა აღმოჩენა არ დასჭირდეს. თითო ასახვაზე ერთი კავშირის შემოწმება იაფია და კითხვას წყვეტს.

რასაც არ უნდა აწარმოოს ასახვამ, სწორედ ის არის დასაჯავშნი მნიშვნელობა. საერთო სახელების CA-ში დაჯავშნა მაშინ, როცა სერვერი მომხმარებლის სახელებს ეყრდნობა, არასწორს ჯავშნის.

ორმა CA-მ შეიძლება ერთი სახელი დაამტკიცოს

VPN სერვისს შეუძლია ერთზე მეტ გამცემ ორგანოს ენდოს, და თითოეული ორგანო ინახავს საკუთარ წარმოდგენას იმაზე, თუ რომელი სახელებია დაკავებული. ორმა დამოუკიდებელმა CA-მ შეიძლება ორივემ დაამტკიცოს ერთი და იგივე საერთო სახელი სხვადასხვა მოწყობილობისთვის, და სერვერი უჩივლებლად იღებს ორივე სერტიფიკატს. ჩამოთვალეთ ნდობის პაკეტის ყველა ორგანო, და არა მხოლოდ ის, საიდანაც ჩვეულებრივ გასცემთ. წარუმატებლობა ჩნდება პირველად მაშინ, როცა მეორე ორგანოს სერტიფიკატი გამოიყენება.

იგივე მსჯელობა ეხება CA-ს, რომელიც მოითხოვს სრული სუბიექტის უნიკალურობას და არა საერთო სახელის უნიკალურობას.

ორ სერტიფიკატს, რომლებიც იზიარებენ საერთო სახელს, მაგრამ განსხვავდებიან ორგანიზაციული ერთეულით, სხვადასხვა სუბიექტი აქვთ, ამიტომ CA კონფლიქტს არ აცხადებს, მაშინ როცა სერვერი ერთ სახელს ხედავს. შეამოწმეთ ის პარამეტრი, რომელსაც თქვენი გამცემი ხელსაწყო რეალურად იყენებს, ნაგულისხმევის ვარაუდის ნაცვლად. unique_subject-ის დამუშავება openssl ca-ის დოკუმენტაციაში სწორედ ის შესაბამისი ღილაკია, და ამ ხელსაწყოს გარშემო არსებული გარსები, როგორც წესი, მას ამჟღავნებენ და არა ცვლიან.

განახლება ნაჯავშნი ხელახალი გამოყენებაა, და არა შეჯახება

სახელის შემანარჩუნებელი განახლება განზრახ ხელახალი გამოყენებაა, და რეესტრმა ეს მარტივი სიტყვებით უნდა თქვას. ჩაწერეთ ძველი თითის ანაბეჭდი და ახალი ერთი სახელის ქვეშ, რათა მიმომხილველმა განასხვავოს ჩანაცვლება ხელში ჩაგდებისგან. სერვერის duplicate-cn პარამეტრს ამასთან კავშირი არ აქვს: ის ერთდროულ სესიებს არეგულირებს, და არა რეგისტრაციას ან სახელების დაჯავშნას. გადაწყვიტეთ, რამდენ ხანს შეიძლება არსებობდეს ორივე სერტიფიკატი და როდის შეწყვეტენ ძველის მიღებას.

ჩანაცვლების გადაცემამდე გადაიკითხეთ, რა შეიცავს სერტიფიკატი რეალურად. სუბიექტის სტრიქონი ის ველია, რომელსაც სერვერი ასახავს, რაც არ უნდა მიგვანიშნოს ფაილის სახელმა.

openssl x509 -in device42.crt -noout -subject -serial -issuer

გაუქმება ჩვეულებრივ სერტიფიკატს მისი გამცემის ქვეშ იდენტიფიცირებს, ამიტომ ერთი სერიული ნომრის პენსიაზე გაშვება არ ზრუნავს იმავე ორგანოს მიერ სწორად გაცემულ ჩანაცვლებაზე. სწორედ ეს ქცევა სჭირდება სუფთა განახლებას, და სწორედ ამიტომ ვერ გაასუფთავებს გაუქმება სახელს, რომელსაც ორი მოწყობილობა იზიარებს. ვალიდაცია გაუკეთეთ ეფექტურ პოლიტიკის სახელს და მინიჭებულ მისამართს სატესტო კავშირზე, სანამ მომხმარებელი მოწყობილობას დაინახავს. შემდეგ განზრახ გაუშვით ძველი სერტიფიკატი პენსიაზე და ჩაწერეთ, რომ ეს გააკეთეთ.