Zašto dva OpenVPN certifikata mogu dijeliti jednu CCD politiku

CA može potpisati dva certifikata koji dobiju istu OpenVPN konfiguraciju specifičnu za klijenta, i ništa ni u jednom od tih certifikata nikoga ne upozorava. Serijski brojevi se razlikuju, ključevi se razlikuju, a i puni subjekti se razlikuju čim se promijeni organizacijska jedinica. Poslužitelj određuje politiku po klijentu kroz jedno ime, i to je ime jedino što mora biti jedinstveno.

Poslužitelj razrješava ime, a ne serijski broj

Kod običnog pretraživanja certifikata poslužitelj uzima uobičajeno ime iz predočenog certifikata i traži unos u client-config-dir s tim imenom. Serijski broj nikada ne ulazi u pretragu. Dva certifikata koja se razlikuju u svakom polju osim uobičajenog imena završe u istoj datoteci, pa druga veza naslijedi fiksnu adresu i gurnute rute prvog uređaja.

Tako provjera jedinstvenosti na strani CA prolazi dok se VPN i dalje sudara. Dvije provjere odgovaraju na različita pitanja.

Odlučite kakvo treba biti efektivno ime prije nego bilo što potpišete i zapišite ga uz uređaj ili račun kojem pripada. Registar s imenom, vlasnikom, svrhom i otiskom certifikata pokriva većinu implementacija. Bez njega je arhiva certifikata jedini zapis o tome koje ime pripada kojem uređaju, a ta arhiva ne može razlikovati ovlaštenu zamjenu od drugog uređaja koji traži postojeće ime. Rezervirajte ime pri upisu, pod bravom ako dva operatera mogu izdavati istovremeno.

Koje ime preslikavanje zapravo koristi

Obično pretraživanje certifikata koristi uobičajeno ime. Poslužitelj postavljen da preslikava autentificirano korisničko ime umjesto toga koristi tu vrijednost, što uobičajeno ime certifikata čini nevažnim za odabir politike. Pročitajte pokrenutu konfiguraciju da vidite koje je preslikavanje na snazi.

Obje preslikavanja mogu postojati istovremeno, a tada rezultat ovisi o redoslijedu kojim ih poslužitelj razrješava. Preslikavanje korisničkog imena koje se vraća na uobičajeno ime tiho će prihvatiti certifikat koji registar nikada nije odobrio. Zapišite efektivno ime uz naredbu koja ga je proizvela kako sljedeći operater ne bi morao ponovno otkrivati redoslijed. Testiranje jedne veze po preslikavanju je jeftino i rješava pitanje.

Što god preslikavanje proizvede, to je vrijednost koju treba rezervirati. Rezerviranje uobičajenih imena u CA dok se poslužitelj oslanja na korisnička imena rezervira pogrešnu stvar.

Dva CA mogu odobriti isto ime

VPN usluga može vjerovati više od jednog izdavatelja, a svaki izdavatelj drži svoju predodžbu o tome koja su imena zauzeta. Dva neovisna CA mogu oba odobriti isto uobičajeno ime za različite uređaje, a poslužitelj prihvaća oba certifikata bez prigovora. Popišite svakog izdavatelja u paketu povjerenja, ne samo onog iz kojeg obično izdajete. Kvar se pojavi prvi put kada se upotrijebi certifikat drugog izdavatelja.

Isto razmišljanje vrijedi za CA koji nameće jedinstvenost punog subjekta umjesto jedinstvenosti uobičajenog imena.

Dva certifikata koji dijele uobičajeno ime ali se razlikuju u organizacijskoj jedinici imaju različite subjekte, pa CA ne prijavljuje sukob dok poslužitelj vidi jedno ime. Provjerite postavku koju vaš alat za izdavanje stvarno koristi umjesto da pretpostavite zadanu vrijednost. rješavanje unique_subject u dokumentaciji openssl ca je relevantna poluga tamo, a omotači oko tog alata je obično izlažu umjesto da je zamjene.

Obnova je rezervirano ponovno korištenje, a ne sudar

Obnova koja zadržava ime namjerno je ponovno korištenje i registar bi to trebao reći jednostavnim riječima. Zapišite stari otisak i novi pod jednim imenom kako bi recenzent mogao razlikovati zamjenu od preuzimanja. Poslužiteljeva opcija duplicate-cn nije povezana: ona upravlja istovremenim sesijama, a ne upisom ili rezervacijama imena. Odlučite koliko dugo oba vjerodajstva mogu postojati i kada staro prestaje biti prihvaćeno.

Prije nego predate zamjenu, pročitajte što certifikat zapravo sadrži. Redak subjekta je polje koje će poslužitelj preslikati, što god ime datoteke sugeriralo.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Opoziv obično identificira certifikat pod njegovim izdavateljem, pa umirovljenje jednog serijskog broja ne utječe na ispravno izdanu zamjenu istog izdavatelja. To je ponašanje upravo ono što čista obnova treba, i upravo zato opoziv ne može očistiti ime koje dijele dva uređaja. Provjerite efektivno ime politike i dodijeljenu adresu na testnoj vezi prije nego korisnik vidi uređaj. Zatim namjerno umirovite staro vjerodajstvo i zapišite da ste to učinili.