Għaliex żewġ ċertifikati OpenVPN jistgħu jaqsmu politika CCD waħda

CA tista' tiffirma żewġ ċertifikati li jieħdu l-istess OpenVPN konfigurazzjoni speċifika għall-klijent, u xejn f'ebda wieħed miż-żewġ ċertifikati ma jwissi lil ħadd. In-numri tas-serje jvarjaw, iċ-ċwievet jvarjaw, u s-suġġetti sħaħ ukoll jvarjaw hekk kif tinbidel unità organizzattiva. Is-server jiddeċiedi l-politika għal kull klijent permezz ta' isem wieħed, u dak l-isem huwa l-unika ħaġa li trid tkun unika.

Is-server jiddeċiedi isem, mhux numru tas-serje

B'riċerka sempliċi taċ-ċertifikat, is-server jieħu l-isem komuni miċ-ċertifikat ippreżentat u jfittex entrata client-config-dir b'dak l-isem. In-numru tas-serje qatt ma jidħol fir-riċerka. Żewġ ċertifikati li jvarjaw f'kull qasam ħlief l-isem komuni jispiċċaw fl-istess fajl, għalhekk it-tieni konnessjoni tirret l-indirizz fiss u r-rotot imbuttati tal-ewwel apparat.

Hekk tgħaddi verifika tal-uniċità fuq in-naħa tas-CA filwaqt li l-VPN għadu jaħbat. Iż-żewġ verifiki jwieġbu mistoqsijiet differenti.

Iddeċiedi x'għandu jkun l-isem effettiv qabel tiffirma xi ħaġa, u rreġistrah ħdejn l-apparat jew il-kont li jappartjeni għalih. Reġistru ta' isem, sid, skop u marka tas-swaba' taċ-ċertifikat ikopri ħafna mill-varar. Mingħajr wieħed, l-arkivju taċ-ċertifikati huwa l-unika rekord ta' liema isem jappartjeni għal liema apparat, u dak l-arkivju ma jistax jiddistingwi sostituzzjoni awtorizzata minn apparat ieħor li jitlob isem eżistenti. Irriżerva l-isem fil-parteċipazzjoni, taħt lock jekk żewġ operaturi jistgħu joħorġu fl-istess ħin.

Liema isem il-mapping fil-fatt juża

Ir-riċerka sempliċi taċ-ċertifikat tuża l-isem komuni. Server imwaqqaf biex jimmappa isem tal-utent awtentikat juża dak il-valur minflok, li jagħmel l-isem komuni taċ-ċertifikat irrilevanti għall-għażla tal-politika. Aqra l-konfigurazzjoni li qed taħdem biex tara liema mapping hija fis-seħħ.

Iż-żewġ mappings jistgħu jkunu preżenti fl-istess ħin, u mbagħad ir-riżultat jiddependi mill-ordni li biha s-server jiddeċidihom. Mapping tal-isem tal-utent li jaqa' lura għall-isem komuni se jaċċetta bil-kwiet ċertifikat li r-reġistru qatt ma approva. Ikteb l-isem effettiv ħdejn il-kmand li pproduċieh sabiex l-operatur li jmiss ma jkollux għalfejn jiskopri mill-ġdid l-ordni. Li tittestja konnessjoni waħda għal kull mapping huwa rħis u jaqta' l-mistoqsija.

X'inkella jipproduċi l-mapping, dak huwa l-valur li għandu jiġi riżervat. Li tirriżerva ismijiet komuni fis-CA waqt li s-server jistrieħ fuq ismijiet tal-utent ifisser li qed tirriżerva l-ħaġa ħażina.

Żewġ CA jistgħu japprovaw l-istess isem

Servizz tal-VPN jista' jafda aktar minn awtorità waħda li toħroġ, u kull awtorità żżomm l-idea tagħha ta' liema ismijiet huma meħuda. Żewġ CA indipendenti jistgħu t-tnejn japprovaw l-istess isem komuni għal apparati differenti, u s-server jaċċetta ż-żewġ ċertifikati mingħajr ilment. Inventarja kull awtorità fil-bundle tal-fiduċja, mhux biss dik li normalment toħroġ minnha. Il-falliment jidher l-ewwel darba li jintuża ċertifikat mit-tieni awtorità.

L-istess raġunament japplika għal CA li tinforza l-uniċità tas-suġġett sħiħ minflok l-uniċità tal-isem komuni.

Żewġ ċertifikati li jaqsmu isem komuni iżda jvarjaw fl-unità organizzattiva għandhom suġġetti differenti, għalhekk is-CA ma tirrapporta l-ebda konflitt filwaqt li s-server jara isem wieħed. Iċċekkja l-konfigurazzjoni li l-għodda tal-ħruġ tiegħek fil-fatt tuża minflok ma tassumi default. Il-trattament ta' unique_subject fid-dokumentazzjoni tal-openssl ca huwa l-pum rilevanti hemmhekk, u l-wrapers madwar dik l-għodda normalment jesponuh minflok ma jissostitwixxuh.

It-tiġdid huwa użu mill-ġdid riżervat, mhux kolliżjoni

Tiġdid li jżomm l-isem huwa użu mill-ġdid intenzjonat, u r-reġistru għandu jgħid hekk fi kliem sempliċi. Irreġistra l-marka tas-swaba' l-qadima u dik il-ġdida taħt isem wieħed sabiex reviżur ikun jista' jiddistingwi sostituzzjoni minn ħtif. L-għażla duplicate-cn tas-server mhijiex relatata: hija tirregola sessjonijiet konkorrenti, mhux parteċipazzjoni jew riżervi tal-ismijiet. Iddeċiedi kemm żmien jistgħu jeżistu ż-żewġ kredenzjali u meta dik il-qadima tieqaf tiġi aċċettata.

Qabel tgħaddi s-sostituzzjoni, aqra mill-ġdid x'fiha tassew iċ-ċertifikat. Il-linja tas-suġġett hija l-qasam li s-server se jimmappa, tkun xi tkun il-ħjiel tal-isem tal-fajl.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Ir-revoka normalment tidentifika ċertifikat taħt il-ħarreġ tiegħu, għalhekk l-irtirar ta' numru tas-serje wieħed ma jaffettwax sostituzzjoni maħruġa b'mod korrett mill-istess awtorità. Dan l-imġiba hija eżattament dak li jeħtieġ tiġdid nadif, u huwa wkoll għaliex ir-revoka ma tistax tnaddaf isem maqsum minn żewġ apparati. Ivvalida l-isem effettiv tal-politika u l-indirizz assenjat fuq konnessjoni tat-test qabel l-utent jara l-apparat. Imbagħad irtira l-kredenzjali l-qadima apposta u rreġistra li għamilt dan.