Viens kopīgs nosaukums, divi sertifikāti: atļauto saraksts vai atsaukšana?

Atkārtoti izsniedzot klēpjdatora sertifikātu ar to pašu kopīgo nosaukumu, tas šķiet kā aizstāšana, un visi pieņem, ka vecais jau ir miris. Tas tā nav. Priekštecis paliek derīgs sertifikāts, ko parakstījusi tā pati iestāde, un jebkura kontrole, kas uzņem klientus pēc nosaukuma, turpinās to uzņemt. To, kas atšķir identitātes pārbaudi no akreditācijas datu pārbaudes, nosaka sērijas numurs, un tieši tur jābūt labojumam.

Sāciet ar servera izmantoto nosaukumu piešķiršanas politiku

Divas kontroles tiek sajauktas: klienta uzņemšana tāpēc, par ko tas sevi uzskata, un viena konkrēta sertifikāta izņemšana no ekspluatācijas. Pirmā ir nosaukuma pārbaude, otrā ir atsaukšanas pārbaude. Tās atbild uz dažādiem jautājumiem, un izvietojumā var būt viena bez otras.

Izlasiet servera konfigurāciju un atzīmējiet, kurš identitātes avots tiek izmantots. username-as-common-name padara autentificēto lietotājvārdu par efektīvo nosaukumu klientam raksturīgiem vaicājumiem. Bez tā tiek izmantots sertifikāta subjekta kopīgais nosaukums. Lai kāda būtu atbilde, pierakstiet to pirms jebkura atļauto saraksta aiztikšanas.

Abi ceļi vienam un tam pašam sertifikātam dod atšķirīgu atļauto nosaukumu kopumu. Minēšana šeit nozīmē rediģēt nepareizo failu un secināt, ka kontrole nedarbojas.

Pārbaudiet, kas patiešām uzņem klientu

Ar atbilstošu failu saistīts client-config-dir nodrošina klientam raksturīgas opcijas; pats par sevi tas nav uzņemšanas noteikums. Uzņemšanai pēc nosaukuma ir vajadzīgs ccd-exclusive, kas atsaka klientus, kuriem nav atbilstoša faila. Ieslēdzot to aktīvā izvietojumā, tiek atvienoti visi, kuru nosaukumam nav faila, tāpēc pirms kaut kā pārslēgšanas saskaitiet failus.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Skaits ir pārbaude: salīdziniet direktorijas sarakstu ar identitātēm, kuras gaidāt pieslēdzamies.

Pēc tam pārliecinieties, ka katrs faila nosaukums precīzi atbilst efektīvajai identitātei, tostarp burtu lielums un atstarpes. office-laptop paredzēts fails neko nedara sertifikātam, kura subjekts ir Office-Laptop. Atstarpes faila beigās arī paslēpj to no vienkārša saraksta, un tāpēc fails, kas izskatās esošs, paliek neizlasīts.

Pārbaudiet CRL, ko ielādē vārteja

CRL nosauc atsauktos sertifikātus pēc izdevēja un sērijas numura, un tas ir detalizācijas līmenis, kāda trūkst nosaukuma pārbaudei. Divi sertifikāti var dalīt kopīgu nosaukumu un atšķirties ar sērijas numuru, un tikai sērijas līmeņa saraksts tos atšķir.

Pirms uzticēties failam, apstipriniet konfigurēto ceļu, izdošanas datumu un nākamās atjaunināšanas lauku.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Salīdziniet CRL norādīto sērijas numuru ar tā sertifikāta sērijas numuru, kuru plānojat paturēt. Šis salīdzinājums ir viss tests, un vienreiz to izdarīt ar acīm ir vairāk vērts nekā uzticēties skriptam, kuru neviens nav lasījis. Izplatiet atjaunināto CRL pa ceļu, kuru vārteja jau lasa. Nepareizā direktorijā esoša CRL neko neizpilda, un neviens klienta žurnāls to nepieminēs.

Aizstājiet, pēc tam pierādiet abus iznākumus

Izsniedziet aizstājēju ar to pašu kopīgo nosaukumu, pierakstiet abus sērijas numurus un tikai tad atsauciet veco. Šāda secība saglabā strādājošu identitāti pieejamu, kamēr gatavojat izmaiņas.

Vispirms pārbaudiet aizstājēju: tam jāautentificējas un jāsasniedz viss, uz ko tā nosaukums dod tiesības. Pēc tam pārbaudiet veco sertifikātu un apstipriniet, ka tas tiek noraidīts, jo veiksmīga aizstāšana neko nepasaka par atsaukšanu. Ja abi joprojām pieslēdzas, atsaukšanas ievade netiek lasīta vai vecais sērijas numurs nekad nav iekļauts sarakstā. Ja neviens nepieslēdzas, esat salauzis uzņemšanas noteikumu, nevis akreditācijas datus.

Jau izveidotās sesijas ir atsevišķa lieta, jo atsaukšana attiecas uz jaunām autentifikācijām, ja vien vārteja nav konfigurēta arī aktīvu savienojumu pārtraukšanai. Pirms kādam to apsolāt, izlemiet, vai tūlītēja noņemšana ir nepieciešama.

Ko nosaukuma pārbaude nekad nespēs

Atļauto saraksts atbild, vai šī identitāte drīkst pieslēgties. Tas nevar pateikt, kuru sertifikātu šī identitāte izmantoja, un tas uzņems vecākus akreditācijas datus tik ilgi, kamēr tie paliek derīgi un nav atsaukti. Šī plaisa atklājas incidenta laikā, kad aizstājējs izsniegts pirms mēnešiem, bet priekštecis joprojām darbojas.

Ja nepieciešama sertifikāta līmeņa kontrole, izmantojiet mehānismu, kas nosauc sertifikātu: CRL ierakstus vai pārbaudes āķi, kas pārbauda operatora uzturētu pirksta nospiedumu. Abi prasa uzturēšanu, un abi ir godīgi par objektu, ko pārbauda. OpenVPN 2.6 rokasgrāmata dokumentē crl-verify un klientam raksturīgu uzņemšanu kā atsevišķas opcijas, tieši šā iemesla dēļ.

Pierakstiet, kura kontrole veic kuru darbu, pēc tam pārbaudiet negatīvo gadījumu. Atsaukšana, kuras atteikumu savienojumam neesat nekad novērojis, ir konfigurācija, uz kuru jūs cerat, ka tā darbosies.