Mengapa cryptoapicert gagal dalam OpenVPN 3 dan Connect pada Windows

Anda menyalin profil OpenVPN 2 yang berfungsi ke klien Windows yang lebih baharu, dan sijil yang dahulunya ditemui oleh klien lama dengan sendirinya tidak lagi ditawarkan. Baris yang membolehkannya ialah pemilih khusus Windows milik klien Community 2, dan aplikasi yang lebih baharu ialah program lain dengan laluan kelayakan yang berbeza. Profil tidak berubah kecuali baris itu, dan itulah yang menjadikan perbezaannya sukar dilihat.

Tiga lapisan dicampuradukkan dalam laporan itu: klien Community, pustaka teras dan bahagian hadapan yang dipasang oleh seseorang. Hanya satu daripadanya pernah memahami arahan itu.

Apakah maksud pilihan itu di tempat ia wujud

Dalam klien Community OpenVPN 2 pada Windows, cryptoapicert menamakan sijil yang perlu dicari klien dalam stor sijil Windows dan bukan dalam fail. Ini kemudahan khusus Windows, dan ia berfungsi kerana klien itu tahu menyenaraikan stor dan menyerahkan kunci yang terhasil kepada tindanan TLSnya sendiri. Justeru arahan itu sebahagian daripada bahasa konfigurasi klien tersebut, bukan sifat protokol OpenVPN. Tiada apa-apa dalam format penghantaran yang membawanya.

Salin baris yang sama ke aplikasi lain dan anda telah menyalin perkataan yang mungkin dihuraikan, diabaikan atau ditolak oleh program baharu. Arahan bukan ciri protokol, dan yang ini pun bukan ciri setiap klien yang bertutur OpenVPN.

Apakah yang disediakan pustaka teras sebagai gantinya

OpenVPN 3 Core ialah pustaka yang disematkan oleh aplikasi lain, dan ia mengendalikan kelayakan luaran melalui API dan bukan carian stor. Aplikasi yang menyematkannya membekalkan rantaian sijil dan kemudian meminta pustaka menandatangani dengan kunci luaran, dan pustaka memanggil balik aplikasi itu untuk berbuat demikian. Itu reka bentuk yang lebih umum, dan bermakna bahagian hadapan menentukan pembekal mana yang wujud. Dalam pengendalian pilihan pustaka itu sendiri, cryptoapicert muncul antara arahan yang tidak dilaksanakan, yang selaras dengan pembahagian tanggungjawab itu.

Kewujudan panggilan balik itu tidak bermakna aplikasi terpaket tertentu menyenaraikan stor peribadi pengguna semasa, menyokong pembekal kunci tertentu atau boleh melengkapkan gesaan kad pintar. Itu sifat bahagian hadapan, dan setiap satunya mesti didokumenkan oleh bahagian hadapan.

Apakah yang dilakukan bahagian hadapan Windows sebagai gantinya

OpenVPN Connect mengambil laluan lain: pengendali mengimport fail PKCS#12 yang mengandungi sijil dan kunci peribadinya ke dalam OpenVPN Certificate Store yang dicipta untuk tujuan itu, kemudian menetapkan sijil luaran kepada profil. Itu langkah import yang disengajakan, bukan penemuan automatik apa-apa yang kebetulan ada dalam stor peribadi. Perbezaan itu penting apabila seseorang menganggap sijil yang dipasang untuk tujuan lain akan muncul begitu sahaja dalam senarai klien.

Import itu juga mempunyai kesan terhadap dasar kunci, kerana mengeksport kunci ke fail P12 ialah tepat apa yang hendak dihalang oleh kunci yang tidak boleh dieksport. Ini persoalan dasar dan bukan konfigurasi, dan ia wajar dijawab sebelum seseorang mencuba import itu.

Pilih laluan yang sepadan dengan dasar kunci

Jika kelayakan itu boleh dieksport dan dasar membenarkan import yang didokumenkan, gunakan proses pendaftaran terlindung organisasi dan pastikan P12 sementara serta kata lalunya di luar log dan skrip. Jika kunci tidak boleh sekali-kali meninggalkan kad pintar atau pembekal terlindung, pilih gabungan klien dan pembekal yang menyokong keperluan itu secara jelas, atau dapatkan pengesahan daripada vendor untuk versi yang anda pasang. Tiada satu cabang pun menjadi jalan pintas bagi yang lain.

Menambah arahan itu semula ke dalam profil tidak dapat menyediakan integrasi yang tidak dimiliki aplikasi. Versi klien yang lebih baharu juga tidak semestinya menambahnya, kerana keupayaan itu milik reka bentuk bahagian hadapan itu sendiri.

Sebaik sahaja kunci setempat berfungsi, pelayan masih menyemak identiti sijil, rantaian dan kebenaran. Kunci setempat yang boleh digunakan dan identiti VPN yang diterima ialah hasil yang berasingan, dan memisahkannya itulah yang menghalang had bahagian hadapan daripada menjadi dasar sijil yang lemah.