Jedno spoločné meno, dva certifikáty: zoznam povolených alebo odvolanie?

Opätovné vydanie certifikátu notebooku pod tým istým spoločným menom pôsobí ako výmena a všetci predpokladajú, že starý je mŕtvy. Nie je. Predchodca zostáva platným certifikátom podpísaným tou istou autoritou a každá kontrola, ktorá pripúšťa klientov podľa mena, ho bude pripúšťať aj naďalej. To, čo oddeľuje kontrolu identity od kontroly prihlasovacích údajov, je sériové číslo, a práve tam patrí oprava.

Začnite politikou pomenovania, ktorú server používa

Dve kontroly sa zamieňajú: pripustenie klienta preto, že o sebe tvrdí, kým je, a vyradenie jedného konkrétneho certifikátu z prevádzky. Prvá je kontrola mena, druhá je kontrola odvolania. Odpovedajú na odlišné otázky a nasadenie môže mať jednu bez druhej.

Prečítajte konfiguráciu servera a poznamenajte, ktorý zdroj identity sa používa. username-as-common-name robí overené používateľské meno efektívnym menom pre vyhľadávanie špecifické pre klienta. Bez neho sa používa spoločné meno subjektu z certifikátu. Nech je odpoveď akákoľvek, zapíšte si ju predtým, než sa dotknete akéhokoľvek zoznamu povolených.

Obe cesty dávajú inú množinu povolených mien pre ten istý certifikát. Uhádnuť to tu znamená upraviť nesprávny súbor a dospieť k záveru, že kontrola nefunguje.

Skontrolujte, čo klienta skutočne pripúšťa

Prepojený so zodpovedajúcim súborom client-config-dir poskytuje možnosti špecifické pre klienta; sám o sebe nie je pravidlom pripustenia. Pripustenie podľa mena vyžaduje ccd-exclusive, ktorý odmieta klientov bez zodpovedajúceho súboru. Zapnutie na bežiacom nasadení odpojí všetkých, ktorých meno nemá súbor, preto pred akoukoľvek zmenou spočítajte súbory.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Počet je kontrola: porovnajte výpis adresára s identitami, ktoré očakávate pripojené.

Potom potvrďte, že každý názov súboru presne zodpovedá efektívnej identite, vrátane veľkosti písmen a medzier. Súbor pre office-laptop nerobí nič certifikátu, ktorého subjekt znie Office-Laptop. Medzery na konci sa tiež skrývajú pred bežným výpisom, a tak súbor, ktorý vyzerá prítomný, zostáva neprečítaný.

Skontrolujte CRL, ktorú načítava brána

CRL pomenúva odvolané certifikáty podľa vydavateľa a sériového čísla, a to je podrobnosť, ktorá kontrole mena chýba. Dva certifikáty môžu zdieľať spoločné meno a líšiť sa sériovým číslom, a iba zoznam na úrovni sériového čísla ich oddeľuje.

Potvrďte nastavenú cestu, dátum vydania a pole nasledujúcej aktualizácie, skôr než súboru vôbec uveríte.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Porovnajte sériové číslo v CRL so sériovým číslom na certifikáte, ktorý si chcete ponechať. To porovnanie je celý test a urobiť ho raz očami má väčšiu cenu než dôverovať skriptu, ktorý nikto neprečítal. Distribuujte aktualizovanú CRL cestou, ktorú brána už číta. CRL v nesprávnom adresári nič nevymáha a žiadny klientsky záznam ju nespomenie.

Nahraďte, potom dokážte oba výsledky

Vydajte náhradu pod tým istým spoločným menom, zaznamenajte obe sériové čísla a až potom odvolajte starý. Tento poriadok udržiava funkčnú identitu dostupnú, kým pripravujete zmenu.

Najprv otestujte náhradu: mala by sa autentifikovať a dosiahnuť všetko, na čo jej meno dáva právo. Potom otestujte starý certifikát a potvrďte, že je odmietnutý, pretože úspešná výmena nič nehovorí o odvolaní. Ak sa oba stále pripájajú, vstup odvolania sa nečíta alebo staré sériové číslo nikdy nebolo uvedené. Ak sa nepripája žiadny, pokazili ste pravidlo pripustenia, a nie prihlasovacie údaje.

Už vytvorené relácie sú samostatná vec, pretože odvolanie sa týka nových autentifikácií, ak brána nie je nakonfigurovaná aj na prerušenie aktívnych spojení. Rozhodnite, či je potrebné okamžité odstránenie, skôr než to niekomu sľúbite.

Čo kontrola mena nikdy nedokáže

Zoznam povolených odpovedá, či sa táto identita môže pripojiť. Nedokáže povedať, ktorý certifikát táto identita použila, a bude pripúšťať staršie prihlasovacie údaje, pokiaľ zostávajú platné a neodvolané. Tá medzera sa prejaví pri incidente, keď bola náhrada vydaná pred mesiacmi a predchodca stále funguje.

Tam, kde je potrebná kontrola na úrovni certifikátu, použite mechanizmus, ktorý certifikát pomenúva: záznamy v CRL alebo overovací háčik, ktorý kontroluje odtlačok udržiavaný operátorom. Oba vyžadujú údržbu a oba sú úprimné voči objektu, ktorý skúmajú. príručka OpenVPN 2.6 dokumentuje crl-verify a pripustenie špecifické pre klienta ako samostatné možnosti, práve z tohto dôvodu.

Zapíšte, ktorá kontrola robí ktorú prácu, potom otestujte negatívny prípad. Odvolanie, ktoré ste nikdy nevideli odmietnuť spojenie, je konfigurácia, o ktorej dúfate, že funguje.