Eno skupno ime, dva certifikata: seznam dovoljenih ali preklic?

Ponovna izdaja certifikata prenosnika pod istim skupnim imenom se zdi kot zamenjava in vsi domnevajo, da je stari mrtev. Ni. Predhodnik ostaja veljaven certifikat, podpisan s strani istega organa, in vsak nadzor, ki sprejema odjemalce po imenu, ga bo še naprej sprejemal. To, kar loči preverjanje identitete od preverjanja poverilnic, je serijska številka, in popravek sodi tja.

Začnite s politiko poimenovanja, ki jo uporablja strežnik

Dva nadzora se zamenjujeta: sprejem odjemalca zato, ker trdi, da je nekdo, in umik enega določenega certifikata iz uporabe. Prvi je preverjanje imena, drugi je preverjanje preklica. Odgovarjata na različna vprašanja, in postavitev ima lahko enega brez drugega.

Preberite konfiguracijo strežnika in zabeležite, kateri vir identitete je v igri. username-as-common-name naredi overjeno uporabniško ime učinkovito ime za iskanja, specifična za odjemalca. Brez tega se uporabi skupno ime subjekta iz certifikata. Kakršen koli je odgovor, ga zapišite, preden se dotaknete katerega koli seznama dovoljenih.

Obe poti dajeta drugačen nabor dovoljenih imen za isti certifikat. Ugibanje tukaj pomeni urejanje napačne datoteke in sklep, da nadzor ne deluje.

Preverite, kaj dejansko sprejme odjemalca

Povezan z ustrezno datoteko client-config-dir zagotavlja možnosti, specifične za odjemalca; sam po sebi ni pravilo sprejema. Sprejem po imenu zahteva ccd-exclusive, ki zavrne odjemalce brez ustrezne datoteke. Če to vklopite v delujoči postavitvi, odklopite vse, katerih ime nima datoteke, zato preštejte datoteke, preden karkoli preklopite.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Število je preverjanje: primerjajte seznam mape z identitetami, za katere pričakujete, da se bodo povezale.

Nato potrdite, da se vsako ime datoteke natančno ujema z učinkovito identiteto, vključno z velikostjo črk in presledki. Datoteka za office-laptop ne naredi ničesar za certifikat, katerega subjekt se glasi Office-Laptop. Presledki na koncu se prav tako skrijejo pred navadnim seznamom, in tako datoteka, ki je videti prisotna, ostane neprebrana.

Preverite CRL, ki jo naloži prehod

CRL poimenuje preklicane certifikate po izdajatelju in serijski številki, in to je podrobnost, ki je preverjanju imena manjka. Dva certifikata si lahko delita skupno ime in se razlikujeta v serijski številki, in samo seznam na ravni serijske številke ju loči.

Potrdite konfigurirano pot, datum izdaje in polje naslednje posodobitve, preden datoteki sploh zaupate.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Primerjajte serijsko številko v CRL s serijsko številko na certifikatu, ki ga nameravate obdržati. Ta primerjava je celoten preizkus, in to enkrat narediti z očmi je vredno več kot zaupati skriptu, ki ga ni nihče prebral. Razdelite posodobljeno CRL po poti, ki jo prehod že bere. CRL v napačni mapi ničesar ne uveljavlja, in noben dnevnik odjemalca je ne bo omenil.

Zamenjajte, nato dokažite oba izida

Izdajte zamenjavo pod istim skupnim imenom, zabeležite obe serijski številki in šele nato prekličite starega. Ta vrstni red ohrani delujočo identiteto na voljo, medtem ko pripravljate spremembo.

Najprej preizkusite zamenjavo: overiti se mora in doseči vse, do česar je njegovo ime upravičeno. Nato preizkusite stari certifikat in potrdite, da je zavrnjen, ker uspešna zamenjava ne pove ničesar o preklicu. Če se oba še povezujeta, se vhod preklica ne bere ali stara serijska številka ni bila nikoli navedena. Če se ne poveže noben, ste pokvarili pravilo sprejema in ne poverilnic.

Že vzpostavljene seje so ločena zadeva, ker preklic velja za nove overitve, razen če je prehod nastavljen tudi za prekinjanje aktivnih povezav. Odločite se, ali je takojšnja odstranitev potrebna, preden to komu obljubite.

Česa preverjanje imena ne more nikoli

Seznam dovoljenih odgovori, ali se ta identiteta lahko poveže. Ne more povedati, kateri certifikat je ta identiteta uporabila, in spustil bo starejše poverilnice, dokler te ostanejo veljavne in nepreklicane. Ta vrzel se pokaže med incidentom, ko je bila zamenjava izdana pred meseci in predhodnik še vedno deluje.

Kjer je potreben nadzor na ravni certifikata, uporabite mehanizem, ki certifikat poimenuje: vnose v CRL ali preveritveni kavelj, ki preveri prstni odtis, ki ga vzdržuje operater. Oba zahtevata vzdrževanje in oba sta poštena glede predmeta, ki ga pregledujeta. priročnik OpenVPN 2.6 dokumentira crl-verify in sprejem, specifičen za odjemalca, kot ločeni možnosti, prav zaradi tega razloga.

Zapišite, kateri nadzor opravlja katero delo, nato preizkusite negativni primer. Preklic, ki ga niste nikoli videli zavrniti povezave, je konfiguracija, za katero upate, da deluje.