Hvorfor to OpenVPN-sertifikater kan dele én CCD-policy

En CA kan signere to sertifikater som får den samme OpenVPN klientspesifikke konfigurasjonen, og ingenting i noen av sertifikatene advarer noen. Serienumre er forskjellige, nøkler er forskjellige, og de fulle subjektene er også forskjellige så snart en organisatorisk enhet endres. Serveren avgjør policyen per klient gjennom ett navn, og det navnet er det eneste som må være unikt.

Serveren avgjør et navn, ikke et serienummer

Ved vanlig sertifikatoppslag tar serveren fellesnavnet fra sertifikatet som presenteres, og ser etter en client-config-dir-oppføring med det navnet. Serienummeret inngår aldri i oppslaget. To sertifikater som er forskjellige i alle felt unntatt fellesnavnet, havner i samme fil, slik at den andre tilkoblingen arver den første enhetens faste adresse og push-ede ruter.

Slik består en unikhetskontroll på CA-siden mens VPN-et fortsatt kolliderer. De to kontrollene svarer på forskjellige spørsmål.

Bestem hva det effektive navnet skal være før du signerer noe, og noter det ved siden av enheten eller kontoen det tilhører. Et register med navn, eier, formål og sertifikatfingeravtrykk dekker de fleste utrullinger. Uten ett er sertifikatarkivet den eneste oversikten over hvilket navn som hører til hvilken enhet, og det arkivet kan ikke skille en autorisert utskifting fra en annen enhet som gjør krav på et eksisterende navn. Reserver navnet ved registrering, under en lås hvis to operatører kan utstede samtidig.

Hvilket navn mappingen faktisk bruker

Vanlig sertifikatoppslag bruker fellesnavnet. En server satt opp til å mappe et autentisert brukernavn bruker den verdien i stedet, noe som gjør sertifikatets fellesnavn irrelevant for policyvalg. Les den kjørende konfigurasjonen for å se hvilken mapping som gjelder.

Begge mappingene kan være til stede samtidig, og da avhenger resultatet av rekkefølgen serveren avgjør dem i. En brukernavnmapping som faller tilbake til fellesnavnet, vil stille godta et sertifikat registeret aldri godkjente. Skriv det effektive navnet ved siden av kommandoen som produserte det, slik at neste operatør ikke må gjenoppdage rekkefølgen. Å teste én tilkobling per mapping er billig og avgjør spørsmålet.

Uansett hva mappingen produserer, er det verdien som skal reserveres. Å reservere fellesnavn i CA-en mens serveren baserer seg på brukernavn, reserverer feil ting.

To CA-er kan godkjenne det samme navnet

En VPN-tjeneste kan stole på mer enn én utstedende myndighet, og hver myndighet har sin egen oppfatning av hvilke navn som er tatt. To uavhengige CA-er kan begge godkjenne det samme fellesnavnet for forskjellige enheter, og serveren godtar begge sertifikatene uten klage. Lag en oversikt over hver myndighet i tillitsbunten, ikke bare den du vanligvis utsteder fra. Feilen viser seg første gang et sertifikat fra den andre myndigheten brukes.

Samme resonnement gjelder for en CA som håndhever unikhet for hele subjektet i stedet for unikhet for fellesnavnet.

To sertifikater som deler et fellesnavn men er forskjellige i organisatorisk enhet, har forskjellige subjekter, så CA-en rapporterer ingen konflikt mens serveren ser ett navn. Kontroller innstillingen utstedelsesverktøyet ditt faktisk bruker i stedet for å anta en standard. Den håndteringen av unique_subject i openssl ca-dokumentasjonen er den relevante bryteren der, og innpakninger rundt det verktøyet eksponerer den vanligvis i stedet for å erstatte den.

Fornyelse er en reservert gjenbruk, ikke en kollisjon

En fornyelse som beholder navnet, er en bevisst gjenbruk, og registeret bør si det med klare ord. Noter det gamle fingeravtrykket og det nye under ett navn, slik at en gjennomgang kan skille en utskifting fra en overtakelse. Serverens duplicate-cn-alternativ er urelatert: det styrer samtidige økter, ikke registrering eller navnereservasjoner. Bestem hvor lenge begge legitimasjonene kan eksistere og når den gamle slutter å bli godtatt.

Før du overleverer utskiftingen, les tilbake hva sertifikatet faktisk inneholder. Subjektlinjen er feltet serveren vil mappe, uansett hva filnavnet antyder.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Tilbakekalling identifiserer vanligvis et sertifikat under utstederen, så å pensjonere ett serienummer påvirker ikke en korrekt utstedt utskifting fra samme myndighet. Nettopp denne oppførselen trenger en ren fornyelse, og det er også derfor tilbakekalling ikke kan rydde opp i et navn som deles av to enheter. Valider det effektive policynavnet og den tildelte adressen på en testtilkobling før brukeren ser enheten. Pensjoner deretter den gamle legitimasjonen med vilje, og noter at du gjorde det.