CA maqsuma, bibien separati: servizz wieħed għal kull fajl ta' ammissjoni

Ċertifikat li jiġi vvalidat kontra awtorità maqsuma għadda minn test ta' fiduċja, mhux test ta' sħubija. Dawn iż-żewġ deċiżjonijiet spiss jiġu mħallta għax it-tnejn iseħħu fil-ħin tal-konnessjoni, u t-taħlit jibqa' inviżibbli sakemm jiġi ammess f'servizz xi ħadd li m'għandux ikun hemm. Is-soluzzjoni mhix awtorità oħra; hija deċiżjoni oħra, meħuda għal kull servizz u rreġistrata fejn id-daemon jaqraha. Żomm it-tnejn separati u l-biċċa l-kbira tal-konfużjoni f'dan il-qasam tispiċċa.

Katina ta' fiduċja ma tgħid xejn dwar is-sħubija fis-servizz

Żewġ servizzi jistgħu jaċċettaw l-istess ġerarkija tal-ħruġ u xorta jkollhom popolazzjonijiet differenti. Laptop wieħed jappartjeni għall-ewwel u m'għandux jilħaq it-tieni, filwaqt li klijenti oħra tal-istess ġerarkija tassew jappartjenu hemmhekk. It-tneħħija tal-awtorità minn dak is-servizz issakkar lil kulħadd li jużah b'mod leġittimu, għalhekk ix-xogħol huwa ammissjoni, mhux fiduċja.

Jgħin li timmaġina żewġ serraturi fuq bieb wieħed. Iċ-ċertifikat jiftaħ is-serratur ta' barra, u deċiżjoni għal kull servizz tiftaħ dak ta' ġewwa; l-ebda waħda ma tissostitwixxi lill-oħra. Servizz biss bis-serratur ta' barra lanqas biss jinfurza s-sħubija, huwa biss jawtentika. Ikteb iż-żewġ deċiżjonijiet qabel tibdel xejn, għax politika li teżisti biss fil-forma ta' konnessjoni li taħdem ma tistax tiġi awditjata. Dak li ġej jikkonċerna s-serratur ta' ġewwa.

Agħmel is-sostituzzjonijiet fakultattivi bieb ta' ammissjoni

Direttorju tal-konfigurazzjoni tal-klijent normalment huwa kumdità: il-fajls fih jissostitwixxu s-settings tal-klijenti li jsemmu, u klijent mingħajr fajl sempliċement jaħdem bil-valuri prestabbiliti tas-server. Direttiva waħda tbiddel dik il-kumdità f'bieb, sabiex fajl nieqes ifisser li l-konnessjoni tiġi rrifjutata.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

L-edizzjoni tal-komunità ta' OpenVPN 2.6 ccd-exclusive tiddokumenta fil-paġna tal-manwal tagħha eżattament dan il-kundizzjoni, u t-tfittxija tal-fajl imsemmi tiddependi mill-identità effettiva tal-klijent. Bini ieħor u servers immexxija mill-prodott jistgħu jvarjaw, għalhekk ikkonferma l-verżjoni installata qabel ma tiddependi fuq l-istess semantika x'imkien ieħor.

Ittratta l-mogħdija hawn fuq bħala eżempju u iċċekkja t-tqassim implimentat minflok ma toħloq direttorju li vvinta gwida. Ħalli l-verifiki taċ-ċertifikat, il-verifiki tal-identità tas-server u l-awtentikazzjoni tal-kont eżattament kif kienu, għax is-silta żżid kundizzjoni u tneħħi xejn. Ipprepara l-bidla qabel il-produzzjoni, għax rifjut imqajjem fil-post żbaljat jidher bħal falliment taċ-ċertifikat u jibgħat l-investigazzjoni lejn l-awtorità. Imbagħad ikkonferma li l-linja tal-log għal klijent irrifjutat issemmi l-fajl tal-konfigurazzjoni nieqes u mhux il-katina.

Direttorju wieħed għal kull servizz, mhux lista maqsuma waħda

Is-sħubija tappartjeni lis-servizz li jinfurzaha, għalhekk kull servizz iżomm id-direttorju tiegħu u l-fajls tiegħu. Id-direzzjoni ta' żewġ servizzi lejn lista waħda tagħmilhom jaqsmu s-sħubija kemm jekk xi ħadd ried dan u kemm jekk le, u l-bidla li tirriżulta hija diffiċli biex tiġi rintraċċata għal deċiżjoni. L-awtorità maqsuma tista' tibqa' maqsuma; il-fajls tal-ammissjoni ma jistgħux. Iż-żamma tagħhom separati tfisser ukoll li żball f'servizz wieħed ma jistax iwessa' ieħor fis-skiet.

Entrata DEFAULT hija l-każ li jqarraq lin-nies. Hija tipprovdi settings ta' riżerva meta ma jinstab ebda fajl imsemmi, iżda mhijiex il-fajl imsemmi li teħtieġ il-bieb, għalhekk ma tistax tammetti klijent waħedha. Ipprova klijent li m'għandux entrata fil-fatt u kkonferma r-rifjut; jekk dak il-klijent jiġi ammess, ir-riżerva qed tiġi applikata u ccd-exclusive mhijiex fis-seħħ f'dak l-eżempju.

L-identità effettiva tiddeċiedi liema fajl jinqara

It-tfittxija tuża l-identità li biha l-klijent tassew awtentika ruħu, li normalment hija l-isem komuni taċ-ċertifikat. Fejn is-server jivverifika wkoll isem tal-utent u password u jimmappa dak l-isem għall-isem komuni, il-fajl għandu jaqbel mal-isem tal-utent awtentikat minflok. Nuqqas ta' qbil iħalli direttorju mimli ismijiet ta' fajls plawżibbli li qatt ma jintgħażlu.

Il-qari huwa n-nofs l-ieħor. Id-daemon normalment iċedi l-privileġġi wara t-tnedija, għalhekk il-kont imnaqqas jeħtieġ aċċess ta' qari għad-direttorju u għal kull entrata fih. Il-klijenti m'għandhomx ikunu jistgħu joħolqu l-entrata tagħhom stess permezz ta' ebda mogħdija li tista' tinkiteb, għax l-ammissjoni awto-servizz tfixkel il-mekkaniżmu kollu. Iċċekkja l-permessi tal-immuntar u tal-kondiviżjoni u mhux biss il-mod tal-fajl, għax direttorju li jidher magħluq għal kont jista' jkun miftuħ għal ieħor. Imbagħad ikkonferma liema kont qed juża tassew il-proċess li qed jaħdem, mhux liema kont issemmi l-fajl tal-unit. It-tnejn huma l-istess biss meta xejn ieħor ma bidilhom.

Osserva r-rifjut, l-ammissjoni u r-revoka separatament

Ipprova identità li tappartjeni lis-servizz u kkonferma li tikkonnettja. Ipprova ċertifikat validu mingħajr entrata u kkonferma li jiġi rrifjutat. Ipprova identità ammessa fis-servizz l-ieħor u kkonferma li mhijiex ammessa hawn. Innota l-eżemplar tas-servizz u l-identità effettiva ħdejn kull riżultat, għax riżultat mingħajr dak il-kuntest ħadd ieħor ma jista' jirriproduċih.

L-irtirar huwa operazzjoni separata mir-revoka. L-editjar ta' fajl tal-ammissjoni jneħħi dritt ta' servizz wieħed filwaqt li l-identità tibqa' valida kullimkien ieħor, filwaqt li ċavetta kompromessa teħtieġ ir-risposta tar-revoka tal-organizzazzjoni. Iddeċiedi minn qabel x'jiġri mis-sessjonijiet li diġà huma miftuħa, għax la l-editjar tad-direttorju u lanqas il-lista tar-revoka ma jtemmuhom waħedhom.

L-ammissjoni hija wkoll biss l-ewwel bieb. Li tingħaqad ma' servizz ma tgħid xejn dwar is-subnets, id-databases jew l-interfaces tal-ġestjoni warajh, u dik il-politika tar-riżorsi trid tinkiteb u tiġi ttestjata għaliha nnifisha.