Żewġ ċertifikati OpenVPN, isem CCD wieħed: x'ma marx tajjeb

Żewġ ċertifikati tal-klijent b'numri tas-serje differenti, ċwievet differenti u saħansitra suġġetti sħaħ differenti xorta jistgħu jispiċċaw f'fajl wieħed tal-politika, għax is-server ma jħares lejn xejn minn dan. Huwa jaqra isem miċ-ċertifikat u jiftaħ il-fajl tal-konfigurazzjoni tal-klijent li jaqbel. Jekk iż-żewġ ċertifikati jġorru l-istess isem, it-tieni jiret il-politika tal-ewwel fil-mument li jqabbad.

Il-kolliżjoni tinħoloq waqt ir-reġistrazzjoni u tiskopri biss waqt il-qabbid, normalment meta apparat jirċievi indirizz jew sett ta' rotot li jappartjenu lil magna oħra. Biex tevita dan, wieħed irid jaqbel dwar liema qasam is-server jimmapja, u mbagħad jirriżerva dak il-valur qabel ma jiġi iffirmat xi ħaġa.

L-għodod taċ-ċertifikati tiegħek mhux se javżawk, għax l-uniċità ġewwa X.509 u l-uniċità ta' isem tal-politika OpenVPN huma rekwiżiti differenti li jiġu infurzati minn sistemi differenti.

Is-server ifittex isem, mhux marka tas-swaba'

Fil-mapping tas-soltu bbażat fuq iċ-ċertifikati, is-server jieħu l-isem komuni miċ-ċertifikat ippreżentat u jfittex fajl b'dak l-isem fid-direttorju tal-konfigurazzjoni tal-klijenti tiegħu. Dak il-fajl jista' jwaħħal indirizz statiku, ipatti rotot jew japplika marki tal-firewall għal kull klijent. It-tiftixa hija qbil ta' string ma' isem ta' fajl, għalhekk il-kbar u ż-żgħar, l-ispazji u l-punteġġjatura kollha jgħoddu.

Xi implimentazzjonijiet jaqilbu l-mapping apposta biex isem tal-utent awtentikat jieħu post l-isem komuni, u mbagħad dak l-isem tal-utent irid ikun uniku. Kif inhi, il-valur li jagħżel il-politika huwa l-valur li tirriżerva. Iddeċiedi liema huwa qabel ma toħroġ xi ħaġa; l-istima wara kolliżjoni tiswa aktar milli tistaqsi.

Fejn żewġ awtoritajiet jaqblu fuq l-istess isem

Organizzazzjoni li taċċetta ċertifikati minn aktar minn awtorità emittenti waħda tmexxi żewġ proċessi tar-reġistrazzjoni indipendenti li jiktbu fi spazju wieħed tal-ismijiet. Ir-regoli tal-uniċità ta' kull awtorità japplikaw fiha nfisha, għalhekk it-tnejn jistgħu joħorġu b'mod leġittimu għall-istess isem komuni mingħajr ma lanqas waħda tinnota xi ħaġa ħażina.

In-numri tas-serje ma jgħinux. X.509 jirrikjedi li numru tas-serje jkun uniku fl-ambitu tal-emittent tiegħu, li hija proprjetà tal-kontabilità ta' dik l-awtorità u mhux identità globali tal-apparat. Il-verifika tas-suġġett hija wkoll test differenti mill-verifika tal-isem komuni: żewġ ċertifikati jistgħu jaqsmu CN filwaqt li jvarjaw fl-unità organizzattiva u għalhekk iġorru suġġetti distinti. Kull waħda minn dawn il-proprjetajiet tista' tinżamm waqt li s-server xorta jimmapja ż-żewġ ċertifikati fuq isem wieħed ta' fajl.

Id-dokumentazzjoni tal-OpenSSL CA tkopri s-setting unique_subject li tirregola l-opinjoni tad-database tagħha stess, u l-bidu onest huwa li taqra l-konfigurazzjoni tal-ħruġ tiegħek minflok tassumi li tapplika xi default partikolari ta' EasyRSA jew OpenSSL.

Irriżerva l-isem effettiv qabel ma tiffirma

Żomm reġistru li jimmapja apparat mar-rekord approvat tiegħu u minn hemm għal isem preċiż ta' fajl tal-politika, sabiex isem jiġi allokat darba u jibqa' allokat. Ir-riżerva trid tkun atomika, li fil-prattika tfisser restrizzjoni tad-database jew lock madwar il-pass alloka-mbagħad-iffirma, mhux spreadsheet li jeditjawha żewġ persuni.

Imbagħad agħmel il-verifika parti mill-ħruġ: irrifjuta li tiffirma meta l-isem mitlub diġà jeżisti, u inkludi f'dik il-verifika kull awtorità li s-server jafda fiha, għax isem riżervat mill-awtorità l-oħra huwa bl-istess mod meħud. Talba miċħuda b'raġuni ċara tiswa inqas minn biljett dwar apparat li jibqa' jieħu l-indirizz statiku ta' ħaddieħor.

It-tiġdid juża isem mill-ġdid apposta

Il-ħruġ mill-ġdid għal apparat eżistenti għandu jipproduċi numru tas-serje ġdid taħt l-istess isem tal-politika, u dan huwa użu mill-ġdid leġittimu mhux kolliżjoni. Dak li jrid jiġi deċiż minn qabel huwa l-overlap: jekk iċ-ċertifikat antik u dak ġdid jistgħux ikunu validi fl-istess ħin, u kif il-kredenzjali antika tiġi rtirata.

Tilħaqx għal duplicate-cn biex issolvi dan. Dik l-għażla tas-server tirregola konnessjonijiet konkorrenti li jippreżentaw l-istess isem; ma tissakkarx ir-reġistrazzjoni, u l-attivazzjoni tagħha ma tagħmilx indirizz statiku maqsum wieħed sigur għal żewġ magni fl-istess ħin. Ir-revoka normalment tidentifika ċertifikat bl-emittent u n-numru tas-serje, għalhekk l-irtirar tal-kredenzjali antika m'għandux għalfejn jinvallida s-sostitut tiegħu sakemm is-server jirċievi u jinfurza d-data tal-revoka korretta.

Ikkonferma l-mapping bl-għodod fuq il-magna

Qabel ma tagħti apparat il-kredenzjali l-ġdid tiegħu, aqra l-isem miċ-ċertifikat kif se jagħmel is-server, u mbagħad qabblu mal-fajl tal-politika li tistenna li jiġi magħżul.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

L-ewwel kmand jistampa l-oqsma tas-suġġett b'mod separat, li jagħmel unità organizzattiva mitlufa jew spazju doppju viżibbli minnufih. It-tieni jikkonferma li fajl tal-politika jeżisti taħt dak l-isem eżatt, u t-tielet juri jekk is-server huwiex ikkonfigurat biex jippermetti diversi sessjonijiet fuq isem wieħed. Mexxi t-tlieta fuq ċertifikat ġdid qabel ma joħroġ mill-pass tar-reġistrazzjoni, waqt li żball għadu jiswa firma minflok inċident. Żomm l-output mal-biljett sabiex il-persuna li jmiss tara liema isem is-server effettivament irċieva.

Iġġielaħ b'konnessjoni vera u qabbel l-indirizz assenjat u r-rotot imbuttati mal-fajl tal-politika, mhux ma' dak li kellek ħsieb tikteb. Jekk żewġ apparati jirrappurtaw l-istess indirizz statiku, ir-reġistru għandu kolliżjoni li l-ebda spezzjoni taċ-ċertifikati qatt ma se tikxef.