De ce două certificate OpenVPN pot împărți o singură politică CCD

O CA poate semna două certificate care primesc aceeași OpenVPN configurație specifică clientului, și nimic din niciunul dintre cele două certificate nu avertizează pe nimeni. Numerele de serie diferă, cheile diferă, iar subiectele complete diferă la rândul lor de îndată ce se schimbă o unitate organizațională. Serverul stabilește politica pentru fiecare client printr-un singur nume, iar acel nume este singurul lucru care trebuie să fie unic.

Serverul stabilește un nume, nu un număr de serie

La căutarea simplă a certificatului, serverul ia numele comun din certificatul prezentat și caută o intrare client-config-dir cu acel nume. Numărul de serie nu intră niciodată în căutare. Două certificate care diferă în toate câmpurile, în afară de numele comun, ajung în același fișier, așa că a doua conexiune moștenește adresa fixă și rutele împinse ale primului dispozitiv.

Așa trece o verificare de unicitate din partea CA în timp ce VPN-ul încă se ciocnește. Cele două verificări răspund la întrebări diferite.

Decideți care trebuie să fie numele efectiv înainte de a semna ceva, și notați-l lângă dispozitivul sau contul căruia îi aparține. Un registru cu nume, proprietar, scop și amprenta certificatului acoperă majoritatea implementărilor. Fără el, arhiva de certificate este singura evidență a numelui care aparține fiecărui dispozitiv, iar acea arhivă nu poate distinge o înlocuire autorizată de un al doilea dispozitiv care revendică un nume existent. Rezervați numele la înrolare, sub un lacăt dacă doi operatori pot emite în același timp.

Ce nume folosește de fapt maparea

Căutarea simplă a certificatului folosește numele comun. Un server configurat să mapeze un nume de utilizator autentificat folosește în schimb acea valoare, ceea ce face numele comun al certificatului irelevant pentru alegerea politicii. Citiți configurația în execuție pentru a vedea ce mapare este în vigoare.

Ambele mapări pot fi prezente simultan, iar atunci rezultatul depinde de ordinea în care serverul le rezolvă. O mapare după numele de utilizator care revine la numele comun va accepta în tăcere un certificat pe care registrul nu l-a aprobat niciodată. Scrieți numele efectiv lângă comanda care l-a produs, ca următorul operator să nu trebuiască să redescopere ordinea. Testarea unei conexiuni pentru fiecare mapare este ieftină și lămurește întrebarea.

Orice ar produce maparea, aceea este valoarea de rezervat. Rezervarea numelor comune în CA în timp ce serverul se bazează pe nume de utilizator rezervă lucrul greșit.

Două CA pot aproba același nume

Un serviciu VPN poate avea încredere în mai mult de o autoritate emitentă, iar fiecare autoritate își păstrează propria idee despre ce nume sunt ocupate. Două CA independente pot aproba amândouă același nume comun pentru dispozitive diferite, iar serverul acceptă ambele certificate fără plângere. Inventariați fiecare autoritate din pachetul de încredere, nu doar pe cea de la care emiteți de obicei. Defecțiunea apare prima dată când se folosește un certificat de la a doua autoritate.

Același raționament se aplică unei CA care impune unicitatea subiectului complet în locul unicității numelui comun.

Două certificate care împart un nume comun dar diferă prin unitatea organizațională au subiecte diferite, așa că CA nu raportează niciun conflict în timp ce serverul vede un singur nume. Verificați setarea pe care instrumentul dumneavoastră de emitere o folosește efectiv, în loc să presupuneți o valoare implicită. tratarea unique_subject în documentația openssl ca este pârghia relevantă acolo, iar ambalajele din jurul acelui instrument o expun de obicei în loc să o înlocuiască.

Reînnoirea este o reutilizare rezervată, nu o coliziune

O reînnoire care păstrează numele este o reutilizare deliberată, iar registrul ar trebui să spună acest lucru în cuvinte simple. Înregistrați amprenta veche și pe cea nouă sub un singur nume, ca un recenzent să poată distinge o înlocuire de o preluare. Opțiunea duplicate-cn a serverului nu are legătură: guvernează sesiunile simultane, nu înrolarea sau rezervările de nume. Decideți cât timp pot exista ambele acreditări și când cea veche nu mai este acceptată.

Înainte de a preda înlocuirea, recitiți ce conține de fapt certificatul. Linia subiectului este câmpul pe care serverul îl va mapa, indiferent ce sugerează numele fișierului.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Revocarea identifică de obicei un certificat sub emitentul său, așa că retragerea unui număr de serie nu afectează o înlocuire emisă corect de aceeași autoritate. Exact acest comportament este necesar unei reînnoiri curate, și tot de aceea revocarea nu poate curăța un nume împărțit de două dispozitive. Validați numele efectiv al politicii și adresa atribuită pe o conexiune de test înainte ca utilizatorul să vadă dispozitivul. Apoi retrageți în mod deliberat acreditarea veche și notați că ați făcut-o.