Isem komuni wieħed, żewġ ċertifikati: lista permessa jew revoka?

L-ħruġ mill-ġdid ta' ċertifikat tal-laptop taħt l-istess isem komuni jidher bħala sostituzzjoni, u kulħadd jaħseb li l-qadim huwa mejjet. Mhuwiex. Il-predeċessur jibqa' ċertifikat validu ffirmat mill-istess awtorità, u kull kontroll li jdaħħal il-klijenti bl-isem se jibqa' jdaħħalh. Dak li jifred verifika tal-identità minn verifika tal-kredenzjali huwa n-numru tas-serje, u hemmhekk għandu jkun it-tiswija.

Ibda bil-politika tal-ismijiet li juża s-server

Żewġ kontrolli jiġu mħallta: id-dħul ta' klijent minħabba min jgħid li hu, u t-tneħħija ta' ċertifikat wieħed partikulari mis-servizz. L-ewwel hija verifika tal-isem, it-tieni hija verifika tar-revoka. Iwieġbu mistoqsijiet differenti, u skjerament jista' jkollu waħda mingħajr l-oħra.

Aqra l-konfigurazzjoni tas-server u nnota liema sors tal-identità qed jintuża. username-as-common-name jagħmel l-isem tal-utent awtentikat l-isem effettiv għat-tfittxijiet speċifiċi għall-klijent. Mingħajru jintuża l-isem komuni tas-suġġett miċ-ċertifikat. Tkun xi tkun it-tweġiba, iktebha qabel ma tmiss ebda lista permessa.

Iż-żewġ toroq jipproduċu sett differenti ta' ismijiet permessi għall-istess ċertifikat. L-istima hawn tfisser li teditja l-fajl ħażin u tikkonkludi li l-kontroll ma jaħdimx.

Iċċekkja x'inhuma fil-fatt jdaħħlu klijent

Il-client-config-dir b'fajl li jaqbel jipprovdi għażliet speċifiċi għall-klijent; waħdu mhuwiex regola tad-dħul. Id-dħul bl-isem jeħtieġ ccd-exclusive, li jirrifjuta klijenti li m'għandhomx fajl li jaqbel. L-attivazzjoni tiegħu fi skjerament attiv tiskonnettja lil kulħadd li ismu m'għandux fajl, għalhekk għodd il-fajls qabel ma tbiddel xi ħaġa.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

L-għadd huwa l-verifika: qabbel il-lista tad-direttorju mal-identitajiet li tistenna li jikkonnettjaw.

Imbagħad ikkonferma li kull isem tal-fajl jaqbel eżattament mal-identità effettiva, inkluż il-kaxxa u l-ispazjar. Fajl għall-office-laptop ma jagħmel xejn għal ċertifikat li s-suġġett tiegħu jinqara Office-Laptop. L-ispazji fit-tarf jinħbew ukoll minn lista sempliċi, u hekk fajl li jidher preżenti jibqa' ma jinqarax.

Iċċekkja s-CRL li tgħabbi l-gateway

CRL issemmi ċ-ċertifikati revokati bl-emittent u n-numru tas-serje, u dik hija l-granularità li verifika tal-isem ma għandhiex. Żewġ ċertifikati jistgħu jaqsmu isem komuni u jiddifferixxu fin-numru tas-serje, u biss lista fil-livell tas-serje tifredhom.

Ikkonferma t-triq konfigurata, id-data tal-ħruġ u l-qasam tal-aġġornament li jmiss qabel ma tafda l-fajl xejn.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Qabbel in-numru tas-serje fis-CRL man-numru tas-serje fuq iċ-ċertifikat li biħsiebek iżżomm. Dak it-tqabbil huwa l-prova kollha, u tagħmilha darba bl-għajnejn tiswa aktar milli tafda skript li ħadd ma qara. Qassam is-CRL aġġornat mit-triq li l-gateway diġà jaqra. CRL f'direttorju ħażin ma jinfurza xejn, u l-ebda log tal-klijent ma jsemmiha.

Issostitwixxi, imbagħad ipprova ż-żewġ riżultati

Ħareġ is-sostitut taħt l-istess isem komuni, iddokumenta ż-żewġ numri tas-serje, u mbagħad biss irrevoka l-qadim. Dak l-ordni jżomm identità li taħdem disponibbli waqt li tħejji l-bidla.

Ittestja s-sostitut l-ewwel: għandu jawtentika u jasal għal kull ma ismu hu intitolat għalih. Imbagħad ittestja ċ-ċertifikat qadim u kkonferma li jiġi rrifjutat, għax sostituzzjoni li tirnexxi ma tgħid xejn dwar ir-revoka. Jekk it-tnejn għadhom jikkonnettjaw, l-input tar-revoka mhux qed jinqara jew in-numru tas-serje l-qadim qatt ma ġie elenkat. Jekk l-ebda wieħed ma jikkonnettja, tkun kisirt ir-regola tad-dħul, mhux il-kredenzjali.

Is-sessjonijiet diġà stabbiliti huma kwistjoni separata, għax ir-revoka tapplika għal awtentikazzjonijiet ġodda sakemm il-gateway ma jkunx konfigurat ukoll biex jaqta' konnessjonijiet ħajjin. Iddeċiedi jekk it-tneħħija immedjata hijiex meħtieġa qabel ma twegħedha lil ħadd.

X'ma tista' qatt tagħmel verifika tal-isem

Lista permessa twieġeb jekk din l-identità tistax tikkonnettja. Ma tistax tgħid liema ċertifikat użat dik l-identità, u se tdaħħal kredenzjali eqdem sakemm il-kredenzjali tibqa' valida u mhux revokata. Dik il-lakuna tidher waqt inċident, meta s-sostitut inħareġ xhur ilu u l-predeċessur għadu jaħdem.

Fejn hija meħtieġa kontroll fil-livell taċ-ċertifikat, uża mekkaniżmu li jsemmi ċ-ċertifikat: entrati CRL, jew hook ta' verifika li jiċċekkja marka tas-swaba' li jżomm l-operatur. It-tnejn jiswew manutenzjoni, u t-tnejn huma onesti dwar l-oġġett li jeżaminaw. Il-manwal OpenVPN 2.6 jiddokumenta crl-verify u d-dħul speċifiku għall-klijent bħala għażliet separati, għal dik ir-raġuni.

Ikteb liema kontroll jagħmel liema xogħol, imbagħad ittestja l-każ negattiv. Revoka li qatt ma rajt tirrifjuta konnessjoni hija konfigurazzjoni li qed tittama li taħdem.