Gemeinsam CA, getrennten Dieren: een Service pro Zoulassungsdatei

En Zertifikat, deen géint eng gemeinsam Autoritéit validéiert gëtt, huet en Test vum Vertrauen bestanen, net en Test vun der Memberschaft. Dës zwee Entscheedungen ginn dacks vermëscht, well se allebéid beim Verbindungsopbau geschéien, an d'Vermëschung bleift onsiichtbar, bis een an e Service gelooss gëtt, deen do net higehéiert. D'Léisung ass keng zweet Autoritéit; et ass eng zweet Entscheedung, pro Service getraff an do festgehalen, wou den Daemon se liest. Halt déi zwee getrennt an de gréissten Deel vun der Duercherneen an dësem Beräich verschwënnt.

Eng vertrauenswierdeg Kette seet näischt iwwer d'Service-Memberschaft

Zwee Servicer kënnen dat selwecht Aussteller-Hierarchie akzeptéieren an trotzdem verschidde Populationen hunn. Een Laptop gehéiert zum éischten an däerf den zweeten net erreechen, wärend aner Clienten vun der selwechter Hierarchie tatsächlech dohinner gehéieren. D'Autoritéit aus deem Service ze entfernen, géif all déi ausschléissen, déi en rechtméisseg benotzen, also ass d'Aarbecht Zoulassung an net Vertrauen.

Et hëlleft, sech zwee Schlässer op enger Dier virzestellen. D'Zertifikat mécht dat baussenzegt Schlass op, an eng Entscheedung pro Service mécht dat bannent op; keen ersetzt dat anert. E Service mat nëmmen dem baussenzegt Schlass setzt iwwerhaapt keng Memberschaft duerch, en authentifizéiert just. Schreift béid Entscheedungen op, ier Dir eppes ännert, well eng Politik, déi nëmmen an der Form vun enger funktionéierender Verbindung existéiert, kann net auditéiert ginn. Dat Folgend geet ëm dat bannent Schlass.

Maacht optional Iwwerschreiwungen zu engem Zoulassungspaart

En Client-Konfiguratiounsverzeechnes ass normalerweis eng Commoditéit: d'Dateien dran iwwerschreifen d'Astellungen vun de Clienten, déi se nennen, an en Client ouni Datei leeft einfach mat den Standardwäerter vum Server. Eng Direktiv verwandelt déi Commoditéit an e Paart, sou datt eng fehlend Datei bedeit, datt d'Verbindung ofgeleent gëtt.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

D'Community-Edition vun OpenVPN 2.6 ccd-exclusive dokumentéiert op hirer Handbuchsäit genee dës Bedingung, an d'Sich no der genannter Datei hänkt vun der effektiver Identitéit vum Client of. Aner Builden a produktverwalt Servicer kënne ofwäichen, also bestätegt d'installéiert Versioun, ier Dir Iech op déi selwecht Semantik soss verloosst.

Behandelt de Wee uewendriwwer als Beispill a kontrolléiert dee tatsächlech ausgerullten Layout, amplaz e Verzeechnes ze schafen, dat sech e Guide ausgeduecht huet. Loosst déi existéierend Zertifikatskontrollen, Serveridentitéitskontrollen an d'Kontenauthentifikatioun genee sou wéi se waren, well de Fragment eng Bedingung dobäi setzt an näischt ewech hëlt. Bereet d'Ännerung virun der Produktioun vir, well eng Oflehnung um falsche Punkt wéi e Zertifikatsfehler ausgesäit an d'Untersuchung op d'Autoritéit schéckt. Bestätegt duerno, datt d'Loglinn fir en ofgeleente Client déi fehlend Konfiguratiounsdatei nennt an net d'Kette.

Een Verzeechnes pro Service, net eng gemeinsam Lëscht

D'Memberschaft gehéiert zum Service, deen se duerchsetzt, also hält all Service säin eegent Verzeechnes a seng eegen Dateien. Zwee Servicer op eng Lëscht ze weisen, léisst se Memberschaft deelen egal ob een dat bewosst wollt oder net, an d'Ännerung déi draus entsteet, ass schwéier op eng Entscheedung zeréckzeféieren. D'gemeinsam Autoritéit kann gemeinsam bleiwen; d'Zoulassungsdateien net. Se getrennt ze halen heescht och, datt e Feeler an engem Service en aneren net stëll kann erweideren.

En DEFAULT-Antrag ass de Fall, deen d'Leit an d'Ier féiert. En liwwert Ersatzastellungen, wann keng genannt Datei fonnt gëtt, awer et ass net déi genannt Datei, déi d'Paart verlaangt, also kann en e Client net eleng zouloussen. Teste en Client, deen iwwerhaapt keen Antrag huet, a bestätegt d'Oflehnung; wann dee Client zougelooss gëtt, gëtt den Ersatz applizéiert an ccd-exclusive ass an deem Fall net a Kraaft.

D'effektiv Identitéit entscheet, wéi eng Datei gelies gëtt

D'Sich benotzt d'Identitéit, mat där de Client sech tatsächlech authentifizéiert huet, wat normalerweis den allgemengen Numm vum Zertifikat ass. Wou de Server och e Benotzernumm an e Passwuert iwwerpréift an deen Numm op den allgemengen Numm mappt, muss d'Datei amplaz mam authentifizéierte Benotzernumm iwwereneestëmmen. Eng Onstëmmegkeet léisst en Verzeechnes voller plausiblen Dateinimm zréck, déi ni ausgewielt ginn.

Liesen ass déi aner Halschent. Den Daemon gëtt normalerweis no dem Start Privilegien op, also brauch de reduzéierten Kont Lieszougrëff op d'Verzeechnes an all Antrag dran. Clienten däerfen hirem eegenen Antrag net iwwer ee schreifbare Wee kënne schafen, well Self-Service-Zoulassung de Mechanismus komplett zerstéiert. Kontrolléiert d'Mount- an Deelberechtegungen an net nëmmen de Dateimodus, well en Verzeechnes, dat fir ee Kont zou ausgesäit, fir en aneren op ka sinn. Bestätegt duerno, wéi ee Kont de lafende Prozess wierklech benotzt, an net wéi ee Kont d'Unit-Datei ernimmt. Déi zwee sinn nëmmen dann d'selwecht, wann näischt anescht se geännert huet.

Observéiert Oflehnung, Zoulassung a Widderruff getrennt

Probéiert eng Identitéit, déi zum Service gehéiert, a bestätegt, datt se sech verbënnt. Probéiert en gültegt Zertifikat ouni Antrag a bestätegt, datt et ofgeleent gëtt. Probéiert eng Identitéit, déi an den anere Service zougelooss ass, a bestätegt, datt se hei net zougelooss gëtt. Notéiert d'Service-Instanz an d'effektiv Identitéit nieft all Resultat, well e Resultat ouni deen Kontext ka keen aneren reproduzéieren.

De Réckzuch ass eng aner Operatioun wéi de Widderruff. D'Ännere vun enger Zoulassungsdatei hëlt eng Service-Berechtegung ewech, wärend d'Identitéit iwwerall soss gülteg bleift, wärend en kompromittéierte Schlëssel d'Widderruffsäntwert vun der Organisatioun erfuerdert. Entscheet virab, wat mat Sessiounen geschitt, déi schonn op sinn, well weder eng Verzeechnesännerung nach eng Widderruffslëscht se vun sech aus beendet.

D'Zoulassung ass och nëmmen déi éischte Paart. Bei engem Service matzemaachen seet näischt iwwer d'Subnetzer, Datebanken oder Verwaltungsinterfacen hannendrun, an déi Ressourcëpolitik muss eegenstänneg geschriwwe an getest ginn.