OpenVPN username-as-common-name: firwat Är CN-Prüfung eidel bleift
E Skript client-connect, dat common_name mat username vergläicht, kann en Numm mat sech selwer vergläichen. Verknäppt den Zertifikat un de Kont, ier den Ersatz ausgefouert gëtt.
Dir setzt e client-connect-Skript derbäi, dat all Verbindung ofweist, an där common_name sech vun username ënnerscheet, an et gesäit aus wéi eng Bindung tëschent engem Zertifikat an engem Kont. Op engem Server, deen username-as-common-name bedreift, huet dës Vergläichung hire Sënn scho verluer, bis d'Skript leeft. Béid Wäerter sinn déiselwecht Zeechenketten, dofir geet den Test och fir en Zertifikat duer, dat komplett engem aneren ausgestallt gouf.
D'Prüfung ass net falsch, well d'Skript schlecht geschriwwe gouf. Si ass falsch, well de Wäert, deen se liest, virdrun an der selwechter Verbindung ersat gouf.
Wat d'Vergläichung ze beweisen schéngt
Zertifikatsauthentifikatioun a Passwuertauthentifikatioun sinn getrennt Beweiser, an e Server kann béid verlaangen, ouni ze verlaangen, datt se zur selwechter Persoun gehéieren. D'Lück ass real: en gültegen Apparat-Zertifikat plus en egal wéi gültegen Kont ass eng aner Behauptung wéi deen Apparat-Zertifikat plus ee genannten Kont. Eng Skript, déi common_name mat username vergläicht, liest sech wéi d'fehlend Glidd tëschent béiden. Si wier et, wann common_name nach ëmmer géif bedeiten, wat den Zertifikat gesot huet.
Ob dat esou ass, hänkt vun enger Serveroptioun of, an déi Optioun gëtt meeschtens aus engem onverbonnene Grond ageschalt, wéi zum Beispill d'Konfiguratiounsdateien pro Benotzer méi einfach ze benennen.
Wat username-as-common-name mam Numm mécht
Mat ageschaltem username-as-common-name ersetzt OpenVPN den gemeinsamen Numm vum Zertifikat duerch den authentifizéierte Benotzernumm, soubal de Benotzernumm an d'Passwuert gepréift sinn. Den Iwwerpréifungshook, deen an där Prüfung leeft, kritt nach ëmmer den gemeinsamen Numm vum Zertifikat, well den Ersatz nach net geschitt ass. Alles duerno, client-connect abegraff, gesäit de Benotzernumm. Dofir kritt de spéideren Opruff eng Identitéit zweemol an kann se net mam presentéierten Zertifikat vergläichen.
| Stage | What common_name holds |
|---|---|
| Username and password verification hook | The certificate common name, for example bob-device |
| After the replacement | The authenticated account, alice |
| client-connect callback | The account again, alice |
Verfollegt eng illustrativ Verbindung: en Zertifikat, deen fir bob-device ausgestallt gouf, eng erfollegräich Verzeichnisanmeldung als alice, an d'Optioun ageschalt. D'Prüfungsphas ka nach zwee verschidde Zeechenketten gesinn. D'Verbindungsphas gesäit alice an alice.
Dee Beispill weist, firwat d'Vergläichung eidel ass. Et weist net, datt d'Verbindung soss akzeptéiert giff, well d'Zertifikatsvalidéierung an d'Passwuertprüfung nach ëmmer eleng lafen.
Setzt d'Bindung dohinner, wou béid Identitéiten nach existéieren
D'Reegel muss an enger Phas duerchgesat ginn, déi d'Identitéit vum Zertifikat an de Kont gläichzäiteg gesäit, wat an der Praxis den Iwwerpréifungshook fir Benotzernumm a Passwuert oder e Plug-in bedeit, deen do geluede gëtt. E ënnerstëtzte Plug-in, deen schonn d'Passwuertprüfung duerchféiert, ass meeschtens déi richteg Plaz, fir eng Kopplungsreegel derbäizesetzen, well säin Ersatz duerch eng Nummvergläichung d'Passwuertprüfung komplett géif ewechhuelen.
Definéiert d'Mapping, ier Dir Code schreift, well Gläichheet seelen déi richteg Politik ass. En Zertifikat identifizéiert dacks en Apparat, während d'Anmeldung eng Persoun identifizéiert, an een Apparat ka legitimerweis méi Persounen déngen. Späichert d'Relatioun a enger Form, där hirem Ausstellen Dir kontrolléiert, a entscheet, wat beim Ëmbenennen, beim Neiausstellen an bei domainqualifizéierten Nimm geschitt. D'Klengschreiwen oder d'Ewechhuele vun engem Domainprefix, ouni d'Verzeichnis ze verstoen, kann zwee Konten fusionéieren, déi sollten getrennt bleiwen.
Denkt drun, datt d'Optioun och ännert, wéi eng Konfiguratioun pro Client gëllt, well client-config-dir um gemeinsamen Numm hänkt.
Testt d'Kopplung mat zwee gültege Login-Donnéeën
Fänkt mat deem Paar un, dat Är Politik erlaabt, a bestätegt, datt et sech verbënnt. Presentéiert dann deeselwechten gültegen Zertifikat mat engem aneren, awer soss gültegen Kont: dee Versuch muss feelen, an en muss wéinst der Kopplungsreegel feelen an net wéinst engem falsch agetippte Passwuert. E falscht Passwuert beweist, datt d'Passwuertprüfung fonctionéiert, a seet näischt iwwer d'Reegel tëschent Zertifikat a Kont.
Préift och d'Weeër ouni Zertifikat an mat engem ongültegen Zertifikat, a bestätegt, wéi eng Identitéit de Server fir d'Astellunge pro Client benotzt. Wann dee eenzege Wee, fir d'Vergläichung ze schaffen, d'Ofschalte vun username-as-common-name ass, préift d'Käschte vun där Ännerung fir d'éischt, well se d'Konfiguratiounssich vun all Client zréck op den Numm vum Zertifikat bréngt.