Jedno zajedničko ime, dva sertifikata: lista dozvoljenih ili opoziv?

Ponovno izdavanje sertifikata za laptop pod istim zajedničkim imenom izgleda kao zamena, i svi pretpostavljaju da je stari mrtav. Nije. Prethodnik ostaje važeći sertifikat potpisan od istog tela, i svaka kontrola koja prima klijente po imenu će ga nastaviti primati. Ono što razdvaja proveru identiteta od provere kredencijala je serijski broj, i tu treba da bude ispravka.

Počnite od politike imenovanja koju server koristi

Dve kontrole se mešaju: primanje klijenta zato što tvrdi da je neko, i uklanjanje jednog konkretnog sertifikata iz upotrebe. Prva je provera imena, druga je provera opoziva. One odgovaraju na različita pitanja, i u postavci može biti jedna bez druge.

Pročitajte konfiguraciju servera i zabeležite koji izvor identiteta je u igri. username-as-common-name čini autentifikovano korisničko ime efektivnim imenom za pretrage specifične za klijenta. Bez toga se koristi zajedničko ime subjekta iz sertifikata. Kakav god da je odgovor, zapišite ga pre nego što dodirnete bilo koju listu dozvoljenih.

Oba puta daju različit skup dozvoljenih imena za isti sertifikat. Nagađanje ovde znači uređivanje pogrešnog fajla i zaključak da kontrola ne radi.

Proverite šta zapravo prima klijenta

Povezan sa odgovarajućim fajlom client-config-dir pruža opcije specifične za klijenta; sam po sebi nije pravilo prijema. Prijem po imenu zahteva ccd-exclusive, koji odbija klijente bez odgovarajućeg fajla. Uključivanje toga u aktivnoj postavci isključuje sve čije ime nema fajl, zato prebrojte fajlove pre nego što bilo šta prebacite.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Broj je provera: uporedite spisak direktorijuma sa identitetima za koje očekujete da se povežu.

Zatim potvrdite da svako ime fajla tačno odgovara efektivnom identitetu, uključujući veličinu slova i razmake. Fajl za office-laptop ne radi ništa za sertifikat čiji subjekt glasi Office-Laptop. Razmaci na kraju se takođe skrivaju od običnog spiska, i tako fajl koji izgleda prisutno ostaje nepročitan.

Proverite CRL koji učitava mrežni prolaz

CRL imenuje opozvane sertifikate po izdavaocu i serijskom broju, i to je detaljnost koja nedostaje proveri imena. Dva sertifikata mogu deliti zajedničko ime i razlikovati se po serijskom broju, i samo spisak na nivou serijskog broja ih razdvaja.

Potvrdite konfigurisanu putanju, datum izdavanja i polje sledećeg ažuriranja pre nego što uopšte verujete fajlu.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Uporedite serijski broj u CRL sa serijskim brojem na sertifikatu koji nameravate da zadržite. To poređenje je ceo test, i uraditi ga jednom okom vredi više nego verovati skripti koju niko nije pročitao. Distribuirajte ažurirani CRL putanjom koju prolaz već čita. CRL u pogrešnom direktorijumu ništa ne sprovodi, i nijedan klijentski dnevnik ga neće pomenuti.

Zamenite, pa dokažite oba ishoda

Izdajte zamenu pod istim zajedničkim imenom, zabeležite oba serijska broja i tek onda opozovite stari. Taj redosled održava radni identitet dostupnim dok pripremate promenu.

Prvo testirajte zamenu: treba da se autentifikuje i da dosegne sve na šta njeno ime ima pravo. Zatim testirajte stari sertifikat i potvrdite da je odbijen, jer uspešna zamena ne govori ništa o opozivu. Ako se oba još povezuju, ulaz opoziva se ne čita ili stari serijski broj nikada nije bio na spisku. Ako se nijedan ne povezuje, pokvarili ste pravilo prijema, a ne kredencijal.

Već uspostavljene sesije su posebno pitanje, jer opoziv važi za nove autentifikacije osim ako prolaz nije konfigurisan i da prekida aktivne veze. Odlučite da li je trenutno uklanjanje potrebno pre nego što to nekome obećate.

Šta provera imena nikada ne može

Lista dozvoljenih odgovara da li ovaj identitet može da se poveže. Ne može da kaže koji sertifikat je taj identitet koristio, i primiće starije kredencijale sve dok oni ostaju važeći i neopozvani. Taj jaz se pojavljuje tokom incidenta, kada je zamena izdata pre mesecima a prethodnik još radi.

Tamo gde je potrebna kontrola na nivou sertifikata, koristite mehanizam koji imenuje sertifikat: unose u CRL, ili kuku za verifikaciju koja proverava otisak koji održava operater. Oba zahtevaju održavanje, i oba su iskreni u pogledu objekta koji ispituju. OpenVPN 2.6 priručnik dokumentuje crl-verify i prijem specifičan za klijenta kao odvojene opcije, upravo iz tog razloga.

Zapišite koja kontrola obavlja koji posao, pa testirajte negativan slučaj. Opoziv koji nikada niste videli da odbija vezu je konfiguracija za koju se nadate da radi.