Zwee OpenVPN-Zertifikater, een CCD-Numm: wat ass schif gelaf

Zwee Client-Zertifikater mat ënnerschiddlechen Seriennummeren, ënnerschiddlechen Schlësselen an och ënnerschiddlechen kompletten Sujete kënnen nach ëmmer an eng eenzeg Richtlinnendatei kommen, well de Server keen dovun ugekuckt. En liest en Numm aus dem Zertifikat an mécht déi entspriechend Client-Konfiguratiounsdatei op. Wa béid Zertifikater deeselwechten Numm droen, ierft dat zweet d'Richtlinn vum éischten an deem Moment wou et sech verbënnt.

D'Kollisioun entsteet bei der Umeldung a gëtt eréischt beim Verbannen entdeckt, meeschtens wann en Apparat eng Adress oder e Set vu Route kritt, déi zu enger anerer Maschinn gehéieren. Fir se ze verhënneren, muss ee sech drop eenegen, wéi ee Feld de Server mappt, an duerno dee Wäert reservéieren, ier eppes ënnerschriwwe gëtt.

Är Zertifikats-Werkzeuge warne Iech net, well Eenzegaartegkeet bannent X.509 an Eenzegaartegkeet vun engem OpenVPN-Richtlinnennumm verschidden Ufuerderunge sinn, déi vu verschiddene Systemer duerchgesat ginn.

De Server sicht en Numm, keen Fangerofdrock

Bei der üblecher zertifikatsbaséierter Mappung hëlt de Server den allgemengen Numm aus dem presentéierten Zertifikat a sicht eng Datei mat deem Numm a sengem Client-Konfiguratiounsverzeechnes. Déi Datei kann eng statesch Adress festleeën, Route pushen oder Firewall-Marken pro Client uwenden. D'Sich ass eng Strings-Dénglechkeet mat engem Dateinumm, dofir si Grouss- a Klengschreiwung, Espacen an Zeechensetzung all wichteg.

Verschidden Deployementer tauschen d'Mappung bewosst, sou datt en authentifizéierten Benotzernumm den allgemengen Numm iwwerhëlt, an dann ass de Benotzernumm dat, wat eenzegaarteg muss sinn. Wéi och ëmmer, de Wäert deen d'Richtlinn auswielt ass dee Wäert deen Dir reservéiert. Entschitt Iech, wéi en et ass, ier Dir eppes ausgëtt; no enger Kollisioun ze roden kascht méi wéi ze froen.

Wou zwou Autoritéiten op dee selwechten Numm treffen

Eng Organisatioun déi Zertifikater vun méi wéi enger ausstellender Autoritéit akzeptéiert, bedreift zwou onofhängeg Umeldungsprozesser, déi an een Nummraum schreiwen. D'Eenzegaartegkeetsregelen vun all Autoritéit gëllen an hir selwer, sou datt béid legitim fir dee selwechten allgemengen Numm ausstelle kënnen, ouni datt eng vun hinnen eppes falsches bemierkt.

Seriennummeren hëllefen net. X.509 verlaangt, datt eng Seriennummer bannent dem Beräich vun hirem Aussteller eenzegaarteg ass, wat eng Eegeschaft vun der Buchhaltung vun där Autoritéit ass an net eng global Apparat-Identitéit. D'Sujet-Kontroll ass och en aneren Test wéi eng Allgemeng-Numm-Kontroll: zwee Zertifikater kënnen eng CN deelen, awer sech an der organisatorescher Eenheet ënnerscheeden an dowéinst verschidde Sujete droen. All déi Eegeschafte kënnen erfëllt sinn, wärend de Server nach ëmmer béid Zertifikater op een Dateinumm mappt.

D'OpenSSL CA-Dokumentatioun deckt d'Astellunge unique_subject déi d'Meenung vun hirer eegener Datebank regeiert, an den éierlechen Ausgangspunkt ass Är Ausstellungs-Konfiguratioun ze liesen, amplaz unzehuelen datt eng bestëmmt EasyRSA- oder OpenSSL-Standard gëllt.

Reservéiert den effektiven Numm virum Ënnerschrëften

Féiert en Register, deen en Apparat op säi geneemegten Aschreiwung a vun do op e geneeën Richtlinnendateinumm mappt, sou datt en Numm eng Kéier zougedeelt gëtt a zougedeelt bleift. D'Reservatioun muss atomar sinn, wat praktesch eng Datebank-Bedingung oder eng Spär ronderëm de Schrëtt zoudeelen-dann-ënnerschrëften bedeit, net eng Tabelle déi zwou Persounen editéieren.

Maacht duerno d'Kontroll en Deel vun der Ausstellung: verweigert ënnerzeschreiwen wann den ugefrote Numm scho existéiert, an abegraff an där Kontroll all Autoritéit deier de Server vertraut, well en Numm deen déi aner Autoritéit reservéiert huet ass genee esou besat. Eng ofgeleent Ufro mat engem kloeren Grond ass méi bëlleg wéi en Ticket iwwer en Apparat deen ëmmer erëm déi statesch Adress vun engem aneren kritt.

D'Erneierung benotzt en Numm bewosst erëm

Eng Neiausstellung fir en existéierenden Apparat soll eng nei Seriennummer ënner deem selwechten Richtlinnennumm erginn, an dat ass legitim Widderbenotzung an net eng Kollisioun. Wat een am Viraus muss entscheeden ass d'Iwwerlappung: ob al an nei Zertifikater gläichzäiteg gëlteg kënne sinn, an wéi déi al Zougangsdonnéeën ausser Betrib geholl ginn.

Grëfft net op duplicate-cn zeréck fir dëst ze léisen. Déi Server-Optioun regeiert gläichzäiteg Verbindungen déi deeselwechten Numm presentéieren; se spärt d'Umeldung net, an hir Aktivéierung mécht eng gedeelt statesch Adress net sécher fir zwou Maschinnen gläichzäiteg. Widderruff identifizéiert en Zertifikat normalerweis iwwer Aussteller a Seriennummer, dofir muss d'Ausserbetrietsetzung vun den alen Zougangsdonnéeën hirem Ersatz net ongëlteg maachen, soulaang de Server déi richteg Widderruff-Donnéeën kritt an duerchsetzt.

Bestätegt d'Mappung mat den Werkzeugen op der Maschinn

Ier Dir engem Apparat seng nei Zougangsdonnéeën iwwergitt, liest den Numm aus dem Zertifikat esou wéi de Server et wäert maachen, an duerno vergläicht en mat der Richtlinnendatei déi Dir erwaart ausgewielt ze ginn.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Déi éischt Kommando dréckt Sujet-Felder getrennt aus, wat eng verierrt organisatoresch Eenheet oder en duebele Espace direkt sichtbar mécht. Déi zweet bestätegt datt eng Richtlinnendatei ënner genee deem Numm existéiert, an déi drëtt weist ob de Server konfiguréiert ass fir verschidde Sessiounen op engem Numm z'erlaben. Féiert all dräi op engem frëschen Zertifikat aus, ier et den Umeldungsschëtt verléisst, wärend e Feeler nach just eng Ënnerschrëft kascht an net en Incident. Hält d'Ausgab beim Ticket, sou datt déi nächst Persoun gesäit wéi en Numm de Server tatsächlech krut.

Schléisst mat enger richteger Verbindung of a vergläicht déi zougedeelte Adress an déi gepushte Route mat der Richtlinnendatei, net mat deem wat Dir geduecht haat ze schreiwen. Wa béid Apparater déi selwecht statesch Adress mellen, huet de Register eng Kollisioun déi keng Zertifikatsinspektioun jeemools opdeckt.