Kvifor to OpenVPN-sertifikat kan dela éin CCD-policy

Ein CA kan signere to sertifikat som får den same OpenVPN klientspesifikke konfigurasjonen, og ingenting i nokon av sertifikata åtvarar nokon. Serienummer er ulike, nøklar er ulike, og dei fulle subjekta er òg ulike så snart ei organisatorisk eining blir endra. Serveren avgjer policyen per klient gjennom eitt namn, og det namnet er det einaste som må vere unikt.

Serveren avgjer eit namn, ikkje eit serienummer

Ved vanleg sertifikatoppslag tek serveren fellesnamnet frå sertifikatet som blir lagt fram, og ser etter ei client-config-dir-oppføring med det namnet. Serienummeret inngår aldri i oppslaget. To sertifikat som er ulike i alle felt unnateke fellesnamnet, hamnar i same fil, slik at den andre tilkoplinga arvar den første eininga si faste adresse og pusha ruter.

Slik går ein unikhetskontroll på CA-sida gjennom medan VPN-et framleis kolliderer. Dei to kontrollane svarar på ulike spørsmål.

Avgjer kva det effektive namnet skal vere før du signerer noko, og noter det ved sida av eininga eller kontoen det høyrer til. Eit register med namn, eigar, føremål og sertifikatfingeravtrykk dekkjer dei fleste utrullingane. Utan eit slikt er sertifikatarkivet den einaste oversikta over kva namn som høyrer til kva eining, og det arkivet kan ikkje skilje ei autorisert utskifting frå ei anna eining som krev eit eksisterande namn. Reserver namnet ved registrering, under ein lås om to operatørar kan utstede samstundes.

Kva namn mappinga faktisk brukar

Vanleg sertifikatoppslag brukar fellesnamnet. Ein server sett opp til å mappe eit autentisert brukarnamn brukar den verdien i staden, noko som gjer sertifikatet sitt fellesnamn irrelevant for policyval. Les den køyrande konfigurasjonen for å sjå kva mapping som gjeld.

Begge mappingane kan vere til stades samstundes, og då avheng resultatet av rekkjefølgja serveren avgjer dei i. Ei brukarnammapping som fell tilbake til fellesnamnet, vil stille godta eit sertifikat registeret aldri godkjende. Skriv det effektive namnet ved sida av kommandoen som produserte det, slik at neste operatør ikkje må oppdage rekkjefølgja på nytt. Å teste éi tilkopling per mapping er billeg og avgjer spørsmålet.

Kva mappinga enn produserer, er det verdien som skal reserverast. Å reservere fellesnamn i CA-en medan serveren byggjer på brukarnamn, reserverer feil ting.

To CA-ar kan godkjenne det same namnet

Ein VPN-teneste kan stole på meir enn éin utstedande styresmakt, og kvar styresmakt held si eiga oppfatning av kva namn som er tekne. To uavhengige CA-ar kan båe godkjenne det same fellesnamnet for ulike einingar, og serveren godtek begge sertifikata utan klage. Lag ei oversikt over kvar styresmakt i tillitsbunten, ikkje berre den du vanlegvis utstedar frå. Feilen viser seg første gong eit sertifikat frå den andre styresmakta blir brukt.

Same resonnementet gjeld for ein CA som handhevar unikheit for heile subjektet i staden for unikheit for fellesnamnet.

To sertifikat som deler eit fellesnamn men er ulike i organisatorisk eining, har ulike subjekt, så CA-en rapporterer ingen konflikt medan serveren ser eitt namn. Kontroller innstillinga utstedingsverktøyet ditt faktisk brukar i staden for å anta ein standard. Den handteringa av unique_subject i openssl ca-dokumentasjonen er den relevante brytaren der, og innpakkingar rundt det verktøyet legg han vanlegvis fram i staden for å erstatte han.

Fornying er ein reservert gjenbruk, ikkje ein kollisjon

Ei fornying som held på namnet er eit medvite gjenbruk, og registeret bør seie det i klåre ord. Noter det gamle fingeravtrykket og det nye under eitt namn, slik at ein gjennomgang kan skilje ei utskifting frå ei overtaking. duplicate-cn-valet til serveren er urelatert: det styrer samtidige økter, ikkje registrering eller namnereservasjonar. Avgjer kor lenge begge legitimasjonane kan finnast og når den gamle sluttar å bli godteken.

Før du overlèt utskiftinga, les tilbake kva sertifikatet faktisk inneheld. Subjektlinja er feltet serveren vil mappe, uansett kva filnamnet antyder.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Tilbakekalling identifiserer vanlegvis eit sertifikat under utstedaren, så å pensjonere eitt serienummer påverkar ikkje ei korrekt utstedt utskifting frå same styresmakt. Nettopp denne åtferda treng ei rein fornying, og det er òg derfor tilbakekalling ikkje kan rydde opp i eit namn som to einingar deler. Valider det effektive policynamnet og den tildelte adressa på ei testtilkopling før brukaren ser eininga. Pensjoner deretter den gamle legitimasjonen med vilje, og noter at du gjorde det.