Waarom twee OpenVPN-certificaten één CCD-beleid kunnen delen

Een CA kan twee certificaten ondertekenen die dezelfde OpenVPN clientspecifieke configuratie krijgen, en niets in een van beide certificaten waarschuwt iemand. Serienummers verschillen, sleutels verschillen, en de volledige subjects verschillen ook zodra een organisatie-eenheid verandert. De server bepaalt het beleid per client via één naam, en die naam is het enige dat uniek moet zijn.

De server bepaalt een naam, geen serienummer

Bij gewone certificaatopzoeking neemt de server de common name uit het gepresenteerde certificaat en zoekt een client-config-dir-vermelding met die naam. Het serienummer komt nooit in de opzoeking terecht. Twee certificaten die in elk veld verschillen behalve de common name belanden in hetzelfde bestand, zodat de tweede verbinding het vaste adres en de gepushte routes van het eerste apparaat erft.

Zo slaagt een uniciteitscontrole aan de CA-kant terwijl de VPN nog steeds botst. De twee controles beantwoorden verschillende vragen.

Bepaal wat de effectieve naam moet zijn voordat u iets ondertekent, en leg die vast naast het apparaat of account waartoe die behoort. Een register van naam, eigenaar, doel en certificaatvingerafdruk dekt de meeste implementaties. Zonder zo'n register is het certificaatarchief de enige vastlegging van welke naam bij welk apparaat hoort, en dat archief kan een geautoriseerde vervanging niet onderscheiden van een tweede apparaat dat een bestaande naam opeist. Reserveer de naam bij de inschrijving, onder een slot als twee operators tegelijk kunnen uitgeven.

Welke naam de mapping werkelijk gebruikt

Gewone certificaatopzoeking gebruikt de common name. Een server die is ingesteld om een geauthenticeerde gebruikersnaam te mappen, gebruikt die waarde in plaats daarvan, waardoor de common name van het certificaat irrelevant wordt voor de beleidskeuze. Lees de lopende configuratie om te zien welke mapping geldt.

Beide mappings kunnen tegelijk aanwezig zijn, en dan hangt het resultaat af van de volgorde waarin de server ze beslecht. Een gebruikersnaammapping die terugvalt op de common name accepteert stilzwijgend een certificaat dat het register nooit heeft goedgekeurd. Schrijf de effectieve naam naast het commando dat hem heeft geproduceerd, zodat de volgende operator de volgorde niet opnieuw hoeft te ontdekken. Eén verbinding per mapping testen is goedkoop en beslecht de kwestie.

Wat de mapping ook oplevert, dat is de waarde die gereserveerd moet worden. Common names in de CA reserveren terwijl de server op gebruikersnamen leunt, reserveert het verkeerde.

Twee CA's kunnen dezelfde naam goedkeuren

Een VPN-dienst kan op meer dan één uitgevende instantie vertrouwen, en elke instantie houdt haar eigen idee bij van welke namen bezet zijn. Twee onafhankelijke CA's kunnen allebei dezelfde common name goedkeuren voor verschillende apparaten, en de server accepteert beide certificaten zonder klacht. Inventariseer elke instantie in de vertrouwensbundel, niet alleen die waaruit u gewoonlijk uitgeeft. De fout verschijnt de eerste keer dat een certificaat van de tweede instantie wordt gebruikt.

Dezelfde redenering geldt voor een CA die uniciteit van het volledige subject afdwingt in plaats van uniciteit van de common name.

Twee certificaten die een common name delen maar verschillen in organisatie-eenheid hebben verschillende subjects, dus de CA meldt geen conflict terwijl de server één naam ziet. Controleer de instelling die uw uitgeefgereedschap werkelijk gebruikt in plaats van een standaard aan te nemen. De behandeling van unique_subject in de openssl ca-documentatie is daar de relevante knop, en wrappers rond dat gereedschap leggen die gewoonlijk bloot in plaats van hem te vervangen.

Vernieuwing is een gereserveerd hergebruik, geen botsing

Een vernieuwing die de naam behoudt is een bewust hergebruik, en het register zou dat in gewone woorden moeten zeggen. Leg de oude en de nieuwe vingerafdruk onder één naam vast, zodat een beoordelaar een vervanging van een overname kan onderscheiden. De duplicate-cn-optie van de server staat hier los van: die regelt gelijktijdige sessies, niet inschrijving of naamreserveringen. Bepaal hoe lang beide inloggegevens mogen bestaan en wanneer de oude niet meer wordt geaccepteerd.

Lees voordat u de vervanging overdraagt terug wat het certificaat werkelijk bevat. De subjectregel is het veld dat de server zal mappen, wat de bestandsnaam ook suggereert.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Intrekking identificeert een certificaat gewoonlijk onder de uitgever, dus het pensioneren van één serienummer raakt een correct uitgegeven vervanging van dezelfde instantie niet. Precies dat gedrag heeft een schone vernieuwing nodig, en daarom kan intrekking geen naam opruimen die door twee apparaten wordt gedeeld. Valideer de effectieve beleidsnaam en het toegewezen adres op een testverbinding voordat de gebruiker het apparaat ziet. Pensioneer daarna het oude inloggegeven bewust en leg vast dat u dat hebt gedaan.