Għaliex cryptoapicert ifalli f’OpenVPN 3 u Connect fuq Windows

Inti tikkopja profil OpenVPN 2 li jaħdem f’klijent Windows aktar ġdid, u ċ-ċertifikat li l-klijent qadim kien isib wahdu ma jibqax jiġi offrut. Il-linja li għamlet dan possibbli hija selettur speċifiku għal Windows li jappartjeni lill-klijent Community 2, u l-applikazzjoni aktar ġdida hija programm ieħor b’mexxej ieħor tal-kredenzjali. Il-profil mhuwiex mibdul ħlief għal dik il-linja waħda, u dan huwa eżattament dak li jagħmel id-differenza diffiċli biex tinqabad.

Tliet saffi jitħalltu f’dak ir-rapport: il-klijent Community, il-librerija ewlenija u l-frontend li xi ħadd installa. Waħda biss minnhom qatt fehmet id-direttiva.

X’ifisser l-għażla fejn teżisti

Fil-klijent Community OpenVPN 2 fuq Windows, cryptoapicert isemmi ċertifikat li l-klijent għandu jsib fil-maħżen taċ-ċertifikati ta’ Windows minflok fi fajl. Din hija kumdità speċifika għal Windows, u taħdem għax dak il-klijent jaf kif jelenka l-maħżen u jgħaddi ċ-ċavetta li tirriżulta lill-istakk TLS tiegħu stess. Għalhekk id-direttiva hija parti mill-lingwa tal-konfigurazzjoni ta’ dak il-klijent, mhux proprjetà tal-protokoll OpenVPN. Xejn fil-format tat-trażmissjoni ma jġorrha.

Ikkopja l-istess linja f’applikazzjoni oħra u tkun kopjajt kelma li l-programm il-ġdid jista’ jipparsja, jinjora jew jirrifjuta. Direttiva mhijiex karatteristika tal-protokoll, u din lanqas biss hija karatteristika ta’ kull klijent li jitkellem OpenVPN.

X’toffri minflok il-librerija ewlenija

OpenVPN 3 Core hija librerija li applikazzjonijiet oħra jinkorporaw, u tittratta kredenzjali esterni permezz ta’ API minflok tfittxija fil-maħżen. L-applikazzjoni li tinkorporaha tipprovdi katina taċ-ċertifikati u aktar tard titlob lill-librerija tiffirma b’ċavetta esterna, u l-librerija ssejjaħ lura lill-applikazzjoni biex tagħmel dan. Dan huwa disinn aktar ġenerali, u jfisser li l-frontend jiddeċiedi liema fornituri jeżistu. Fil-maniġġar tal-għażliet tal-librerija stess, cryptoapicert jidher fost id-direttivi li mhumiex implimentati, li huwa konsistenti ma’ dik il-qsim tar-responsabbiltà.

L-eżistenza ta’ dawk is-sejħiet lura ma tfissirx li applikazzjoni ppakkjata partikolari telenka l-maħżen personali tal-utent attwali, tappoġġja fornitur partikolari taċ-ċwievet jew tista’ tlesti talba tal-karta intelliġenti. Dawk huma proprjetajiet tal-frontend, u kull waħda minnhom trid tiġi ddokumentata mill-frontend.

X’jagħmel minflok il-frontend ta’ Windows

OpenVPN Connect jieħu triq oħra: l-operatur jimporta fajl PKCS#12 li jkun fih iċ-ċertifikat u ċ-ċavetta privata tiegħu f’OpenVPN Certificate Store maħluq għal dan il-għan, u mbagħad jassenja ċ-ċertifikat estern lill-profil. Dan huwa pass ta’ importazzjoni deliberat, mhux skoperta awtomatika ta’ dak li jkun hemm fil-maħżen personali. Id-distinzjoni hija importanti meta xi ħadd jassumi li ċertifikat installat għal skop ieħor se jidher biss fil-lista tal-klijent.

L-importazzjoni għandha wkoll konsegwenza għall-politika taċ-ċwievet, għax l-esportazzjoni ta’ ċavetta f’fajl P12 hija eżattament dak li ċavetta li ma tistax tiġi esportata hija maħsuba biex tipprevjeni. Din hija kwistjoni ta’ politika u mhux ta’ konfigurazzjoni, u jistħoqqilha tweġiba qabel ma xi ħadd jipprova l-importazzjoni.

Agħżel triq li taqbel mal-politika taċ-ċavetta

Jekk il-kredenzjali hija esportabbli u l-politika tippermetti l-importazzjoni ddokumentata, uża l-proċess tar-reġistrazzjoni protett tal-organizzazzjoni u żomm il-P12 temporanju u l-password tiegħu barra mil-logs u mill-iskripts. Jekk iċ-ċavetta qatt m’għandha titlaq minn karta intelliġenti jew fornitur protett, agħżel kombinazzjoni ta’ klijent u fornitur li tappoġġja b’mod espliċitu dik il-ħtieġa, jew ikseb konferma mill-fornitur għall-verżjoni li installajt. Lanqas waħda miż-żewġ fergħat mhija sostitut għall-oħra.

Li żżid id-direttiva lura mal-profil ma tistax tipprovdi integrazzjoni li l-applikazzjoni m’għandhiex. Lanqas verżjoni aktar ġdida tal-klijent ma żżidha neċessarjament, għax il-kapaċità tappartjeni lid-disinn tal-frontend stess.

Ladarba ċ-ċavetta lokali taħdem, is-server xorta jiċċekkja l-identità taċ-ċertifikat, il-katina u l-awtorizzazzjoni. Ċavetta lokali użabbli u identità VPN aċċettata huma riżultati separati, u li żżommhom separati huwa dak li jwaqqaf limitazzjoni tal-frontend milli ssir politika taċ-ċertifikati mdgħajfa.