X’jiċċekkja l-klijent VPN tiegħek qabel ma jafda ċertifikat

Il-klijent VPN tiegħek jgħid li ċ-ċertifikat ma setax jiġi vverifikat, u d-djalogu jieqaf hemm. Il-fajl hemm, is-server jaħdem, u l-istess profil ħadem fuq laptop ieħor ix-xahar li għadda. Taħt dik it-twissija ta’ linja waħda l-klijent għadda ċ-ċertifikat tal-pari mill-erba’ bibien: awtorità taċ-ċertifikati li kkonfigurajt tiggarantixxi l-mogħdija tal-firem, dik il-mogħdija tilħaq l-awtorità, l-isem tal-pari huwa dak li tlabt, u ċ-ċertifikat issa jista’ jintuża għal dan l-iskop. Sib il-bieb li ngħalaq u t-tiswija normalment hija fajl wieħed; aqbeż dak il-pass u se terġa’ timporta l-bundles il-ħin kollu wara nofsinhar.

Aqra d-djalogu qabel ma teditja l-profil

L-iżbalji taċ-ċertifikati jifformulahom il-librerija ta’ taħt, mhux il-prodott VPN li installajt, għalhekk l-istring eżatt huwa l-ewwel prova tiegħek. «Ma jistax jinkiseb iċ-ċertifikat tal-emittent lokali» jindika l-mogħdija jew l-ankra tal-fiduċja. «Iċ-ċertifikat skada jew għadu mhux validu» jindika l-ħin. «Skop taċ-ċertifikat mhux appoġġjat» jindika l-użu estiż tal-muftieħ. Nuqqas ta’ qbil fl-isem jgħidlek liema isem ried. L-ebda wieħed mill-erbgħa ma jiġi msewwi billi jerġa’ jiġi installat il-klijent.

Għolli l-livell tal-logging qabel ma tbiddel xejn. OpenVPN jirrapporta l-falliment tal-verifika madwar il-handshake meta tmexxih b’--verb 4, u strongSwan jikteb id-deċiżjonijiet tiegħu dwar identità u katina fil-log charon. Imbagħad ikkonferma liema ċertifikat qed teżamina, għax in-nies normalment jittestjaw il-fajl fuq id-diska filwaqt li l-profil jinkorpora kopja eqdem. Meta l-profil jinkorpora blokki PEM, iċ-ċertifikat inkorporat huwa dak li jiġi ttestjat.

Awtorità taċ-ċertifikati tiffirma identitajiet, mhux permessi

L-awtorità żżomm isem u muftieħ tal-firem. Hija toħroġ ċertifikati li jorbtu muftieħ pubbliku ma’ dak l-isem skont il-politika tagħha stess, b’perjodu ta’ validità u restrizzjonijiet tal-użu mehmuża. Il-klijent tiegħek jeħtieġ biss iċ-ċertifikat tal-awtorità biex jirrikonoxxi l-emittent; qatt ma jeħtieġ il-muftieħ tal-firem, u t-tbaħħir ta’ dan il-muftieħ lill-klijenti jagħtihom il-ħila joħolqu kwalunkwe identità li l-varar jafda.

Li tafda awtorità jagħmel kull ċertifikat li ffirmat kandidat, mhux il-pari t-tajjeb. Ċertifikat ta’ web server mill-istess CA interna huwa wkoll kandidat. Għalhekk jeżistu l-bibien tal-isem u l-iskop, u għalhekk muftieħ CA kompromess huwa aktar importanti minn kwalunkwe server wieħed: jilħaq kull identità li l-awtorità qatt ħarġet. Toħroġx ċertifikati tal-klijenti għal kull apparat, sabiex laptop mitluf ikun revoka waħda u mhux ġenerazzjoni mill-ġdid tal-muftieħ għall-varar kollu.

Erġa’ bni l-mogħdija li qed jipprova jibni l-klijent

Il-mogħdija tibda miċ-ċertifikat tal-pari, tgħaddi minn żero jew aktar ċertifikati intermedji, u tasal għal għerq fil-maħżen tal-fiduċja tiegħek. Ċertifikat intermedju neqsin huwa l-aktar falliment komuni tal-katina, u min-naħa tal-klijent jidher identiku għal għerq mhux affidabbli. Aqra l-werqa l-ewwel, imbagħad ħalli lil OpenSSL jibni l-mogħdija mill-materjal li biħsiebek tibgħat.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Status tal-ħruġ żero jfisser li l-mogħdija nbniet minn dawk il-fajls; falliment isemmi ċ-ċertifikat li ma setax jilħaq. Jekk openssl verify jirnexxi filwaqt li l-klijent għadu jirrifjuta, id-differenza hija f’dak li s-server fil-fatt jibgħat jew f’liema fajl tal-fiduċja jgħabbi l-profil. F’OpenVPN iċ-ċertifikati intermedji jistgħu jivvjaġġaw mal-fajl taċ-ċertifikat tas-server jew jiġu pprovduti separatament b’--extra-certs, u bundle li jżomm żewġ għeruq miktuba taħt l-istess isem tas-suġġett se jibgħat wieħed mill-klijenti tiegħek fit-taqsima ħażina.

L-isem u l-iskop huma bibien separati

Il-bini tal-katina qatt ma jistaqsi jekk l-isem huwiex tiegħek. OpenVPN jiċċekkjah biss meta l-profil jistabbilixxi --verify-x509-name, u l-vizzju l-antik li jitqabbel biss l-isem komuni jinkiser fuq ċertifikati li l-identitajiet tagħhom jgħixu fis-subjectAltName. Il-varar tal-IKEv2 iqabbel l-identità kkonfigurata mal-entrati SAN jew mal-isem distinta, skont il-klijent, u valur wildcard jew %any jitfi bil-kwiet il-paragun li ħsibt li kellek.

Imbagħad jiġu l-ħin u l-iskop. Laptop li l-arloġġ tiegħu jmur xi sigħat ’il quddiem jirrifjuta ċertifikat li għadu mhux validu, u ċertifikat intermedju skadut ifalli l-mogħdija filwaqt li l-werqa hija valida. Il-fallimenti tal-iskop jiġu minn ċertifikat mingħajr serverAuth fl-użu estiż tal-muftieħ, jew b’keyUsage li ma jippermettix il-firma tal-handshake, li OpenSSL jirrapporta bħala skop taċ-ċertifikat mhux appoġġjat. Erġa’ ħroġ mit-template it-tajjeb; xejn f’dak il-messaġġ mhuwa raġuni biex titfi l-verifika.

Ir-revoka taħdem biss jekk xi ħadd ikkonfiguraha

CRL jew risposta OCSP ma jiġux ikkonsultati awtomatikament. Fuq server OpenVPN, iċ-ċertifikati tal-klijenti jiġu mqabbla ma’ lista biss meta --crl-verify jindika waħda. Il-verifika taċ-ċertifikat tas-server min-naħa tal-klijent tiddependi mill-implimentazzjoni u spiss ma tkunx hemm. strongSwan jeħtieġ il-plugin tar-revoka tiegħu u politika qabel ma jħares lejn CRL għal pari.

Dan jispjega t-ticket li eventwalment tirċievi: ċertifikat tal-klijent revokat xorta jgħaqqad, u kulħadd jikkonkludi li r-revoka hija miksura. Xejn ma kien qed jiċċekkja. Ippubblika u aġġorna l-CRL, jew żomm iċ-ċertifikati tal-klijenti tant b’ħajja qasira li revoka skaduta tgħodd ftit, u pprattika l-mogħdija tar-revoka fuq ċertifikat tal-laboratorju qabel ma tkun teħtiġha waqt inċident.

Ordni ta’ tiswija li jżomm il-verifika mixgħula

Issortja skont is-sintomu qabel ma tmiss fajls, għax kull ringiela tat-tabella tibgħat lilek lejn oġġett differenti.

Aqbeż il-lista f’daqqa waħda: ikkonferma l-fajl li jgħabbi l-profil, ibni l-mogħdija int stess, iċċekkja li s-server jibgħat iċ-ċertifikat intermedju, qabbel l-arloġġ, aqra s-SAN, aqra l-EKU, imbagħad erġa’ qabbad u ara l-istess linja tal-log tisparixxi. Jekk apparat ma jistax jingħata CA xejn, il-pinning huwa l-alternattiva onesta, għax OpenVPN 2.6 jaċċetta --peer-fingerprint u jnaqqas il-fiduċja għal muftieħ wieħed minflok ma jneħħi l-verifika. RFC 5280 hija r-referenza għal dak li jfisser kull wieħed minn dawk l-oqsma.