Ċertifikat VPN imġedded: xi klijenti għadhom jirrifjutah

Nofs l-ambjent jerġa’ jikkonnettja wara t-tiġdid u tliet apparati jirrifjutaw, kull wieħed b’twissija dwar l-identità tal-gateway. It-tiġdid innifsu huwa rutina. Dak li għandhom dawn it-tliet apparati huwa pin għall-oġġett l-antik, u pin mhuwiex lista ta’ CA, verifika tal-isem jew dħul fil-maħżen tal-fiduċja. Qabbel it-tliet mekkaniżmi qabel ma tmiss xi klijent.

Tiġdid wieħed, żewġ imġieba

Il-klijenti li jerġgħu jikkonnettjaw għandhom deċiżjoni ta’ fiduċja li għadha tgħaddi, u dawk li jirrifjutaw għandhom rekwiżit li ċ-ċertifikat il-ġdid ma jissodisfax. Dik id-differenza hija informazzjoni, mhux storbju. Aqra b’reqqa l-messaġġ tal-klijent li qed ifalli. Nuqqas ta’ qbil fl-isem, emittent mhux magħruf u marka tal-irjus mibdula huma tliet verdetti differenti, u biss l-aħħar wieħed jindika pin.

Iċċekkja wkoll liema profil għażel il-klijent li qed ifalli. Kopja importata li tgħix fil-maħżen tagħha stess ma tinbidilx meta l-amministratur jeditja l-fajl oriġinali ximkien ieħor.

Tiġdid jissostitwixxi l-oġġett, mhux biss id-data

Marka tal-irjus tidentifika l-kontenut kodifikat taċ-ċertifikat. Tiġdid jipproduċi ċertifikat ġdid, allura l-marka tal-irjus tinbidel ukoll meta l-isem tas-suġġett u l-muftieħ pubbliku jibqgħu identiċi. Dan huwa mistenni u bla ħsara għall-klijenti li jafdaw f’CA u jivverifikaw l-isem. Huwa fatali għal klijent ikkonfigurat li jaċċetta eżattament ċertifikat wieħed, u huwa fatali wkoll għal klijent li l-maħżen tal-fiduċja tiegħu qatt ma rċieva l-emittent il-ġdid.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

It-tieni linja twieġeb mistoqsija oħra, jekk il-par ta’ muftieħ għexxiex. Tiġdid li juża mill-ġdid il-muftieħ iżomm dak il-valur u jbiddel biss iċ-ċertifikat, u dan huwa eżattament il-każ fejn amministratur jiġi ttantat jaħseb li xejn ma nbidel. Spezzjona ċ-ċertifikat li huwa skjerat, mhux dak li jinsab fuq il-host tal-bini. Li tqabbel fajl f’repożitorju jipprova dak li ġie ġġenerat, mhux dak li qed jippreżenta xi semmiegħ bħalissa.

Aqra x’qed jippin il-klijent

Xi klijenti jżommu marka tal-irjus fil-profil tagħhom u jqabbluha f’kull konnessjoni. Oħrajn jaħżnuha f’maħżen tal-fiduċja tal-pjattaforma, u oħrajn għadhom jiddependu biss fuq CA. It-tiswija hija differenti f’kull każ, allura l-ewwel identifika l-mekkaniżmu.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

L-ewwel kmand juri pin fi profil konvenzjonali; it-tieni juri l-marka tal-irjus li l-endpoint qed iservi tabilħaqq bħalissa. Meta dawn it-tnejn ikunu differenti, tkun sibt il-ħsara mingħajr ma tistma’. Twaħħalx il-valur il-ġdid f’kull klijent li jilmenta. Klijent li jirrifjuta minħabba l-emittent se jkompli jirrifjuta, u tkun għallimt lilek innifsek li l-marka tal-irjus kienet il-problema meta ma kinitx.

Qabbel iċ-ċertifikat li jservi kull backend

Riżultati intermittenti normalment ifissru aktar minn endpoint wieħed, u tiġdid applikat fuq node wieħed iħalli lill-oħrajn jippreżentaw l-oġġett l-antik. Qabbel kull backend bl-indirizz u mhux bl-isem komuni.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Ġabra li fiha node wieħed jibqa’ lura tispjega klijent li jikkonnettja fit-tieni attentat u jonqos fl-ewwel. Tispjega wkoll verifika ta’ monitoraġġ li tgħaddi waqt li l-utenti jilmentaw. L-ewwel sewwi d-dewmien. Li tqiegħed il-konfigurazzjoni tal-fiduċja qabel ma kull node jservi ċ-ċertifikat il-ġdid joħloq tieqa fejn xejn ma jaħdem, u li tqegħdha wara tħalli lill-klijenti jonqsu b’mod imprevedibbli.

Biddel il-fiduċja permezz tal-mogħdija amministrata

Ikkonferma s-sostituzzjoni permezz ta’ kanal amministrattiv diġà affidabbli qabel ma taċċettaha ximkien. Data ta’ skadenza plawżibbli mhijiex prova ta’ pussess. Aġġorna l-konfigurazzjoni amministrata permezz tal-proċess li jippossjedietha, b’kull sovrappożizzjoni ppjanata ta’ identitajiet aċċettabbli, u żomm il-verifika tal-isem li teħtieġ id-deployment. Pin mingħajr verifika tal-isem huwa disinn aktar dgħajjef mill-fiduċja fil-CA li sostitwixxa.

Imbagħad ivverifika għal kull klijent, ikkonnettja, ikkonferma l-identità li aċċetta, u noti l-verżjoni taċ-ċertifikat li issa jafda fih. Twissija mwarrba darba għandha mod kif terġa’ lura fit-tiġdid li jmiss.