OpenVPN verify-x509-name: subject, name in name-prefix

Najprej preberite vrsto ujemanja in nato besedilo: verify-x509-name direktiva je lahko videti pravilna in vseeno sprejme certifikat, ki mu niste nameravali zaupati. Dve vrstici z enakim pričakovanim besedilom, a različnima vrstama sta dve različni zahtevi. Najprej berite vrsto, nato besedilo. Direktivo obravnavajte kot še en pogoj povezave, ne kot celotno preverjanje.

Kaj možnost v resnici zatrjuje

Direktiva navaja identiteto, ki jo mora nositi certifikat druge strani. Ko primerjava spodleti, OpenVPN prekine rokovanje in noben tunel se ne dvigne. Vse drugo v profilu še vedno velja: certifikat se mora verižiti do zaupanja vredne CA, preverjanje vloge pa mora uspeti, zato je to dodatni pogoj in ne nadomestilo. Profil, ki izpolni pričakovanje imena in spodleti pri preverjanju vloge, je še vedno pokvarjen, in dnevnik to običajno pove.

Razlikuje se tudi od preverjanja imena gostitelja, ki ga izvaja brskalnik. Brskalnik primerja imena z alternativnimi imeni subject po pravilih svojega sklada TLS, medtem ko OpenVPN primerja eno polje certifikata z vrsto, ki ste jo izbrali. Zato lahko prilepljeno ime gostitelja v slogu brskalnika v direktivi povzroči neskladje, tudi ko certifikat storitev resnično pokriva.

subject: celotno razločevalno ime, znak za znakom

Ko vrsta ni zapisana, je privzeta subject, pričakovana vrednost pa mora ponoviti celoten subject DN certifikata. Vrstni red polj, ločila, presledki in escaping se vsi štejejo, ker primerjava teče na nizu, kot je kodiran. Če vrsto izpustite, ste izbrali najstrožjo od treh primerjav. Ni koraka normalizacije, ki bi rešil kozmetično razliko. To je vredno vedeti pred prvo obnovitvijo, ne po njej.

Ta strogost je krhka med obnovitvami. CA, ki prerazporedi atribute, vstavi dodatno polje ali spremeni način escapiranja vrednosti, ustvari nov niz za isti stroj, in direktiva, ki je delovala leta, začne spodleteti pri naslednji izdaji. Shranjevanje sprejetega DN v dnevniku sprememb spremeni naslednjo obnovitev v razliko. Kjer operater objavi celoten DN in jamči njegovo obliko, je subject razumna izbira; drugje je ožje polje lažje ohraniti resnično.

name: eno polje, običajno običajno ime

Vrsta name primerja eno polje subject. Če profil ne pove drugače, je to polje običajno ime, pričakovana vrednost pa je natanko to polje, ne DN okoli njega.

Past je v tem, da sodobni certifikati ne dajo vedno imena storitve v CN. Mnogi ga nosijo v alternativnem imenu subject in CN pustijo prazen ali splošen, zato lahko certifikat, ki ga brskalnik sprejme, vseeno spodleti pri tej primerjavi. Preden napišete pričakovanje, pregledajte certifikat, ki vam je bil dejansko izdan, in potrdite, katero polje profil izbere. Prazen CN v primerjavi z imenom je neskladje, ne konfiguracijska nesreča.

name-prefix: namerno širok, zato omejite obseg

Pričakovanje vrste name-prefix se ujema z začetkom izbranega polja. To je priročno za shemo poimenovanja in nevarno za vse, kar si delimo.

Če je pričakovanje vpn.example , bi prestala oba vpn.example.com in vpn.example.net , pod pogojem, da je preostanek verige zaupanja vreden. Širina je lastnost in obenem del, ki ga je treba pisno utemeljiti. Predpona je razumna, ko so CA in shema poimenovanja vaši, in veliko šibkejša, ko javna CA izdaja v istem vzorcu. Če shema potrebuje prilagodljivost, jo omejite pri CA, namesto da širite preverjanje odjemalca.

Izberite vrsto glede na identifikator in jo nato dokažite

Delajte vzvratno od identitete, ki jo operater namerava. Če objavi celoten DN in ga drži stabilnega, subject to izraža. Če storitev imenuje z običajnim imenom, uporabite name. Če ima shemo poimenovanja in sprejema ves njen prostor, name-prefix to pove izrecno.

Obnovitve so tisto, kjer se direktiva preizkusi. Primerjajte odobreno identiteto z novim certifikatom in ne s staro datoteko, ker nov naslov končne točke ne pomeni nove identitete certifikata. Direktive ne brišite le zato, ker se znan naslov odziva: dosegljivost in predvidena druga stran sta različni dejstvi, naslov pa dokazuje le, da je nekaj odgovorilo. Zapišite točno napako in javne podatke o imenu v očiščeno poročilo, ker je neskladje imena mogoče pokazati brez kakršnegakoli gradiva zasebnega ključa.

Po podprtem popravku se znova povežite z vsemi predvidenimi preverjanji in preverite vir, ki ga resnično potrebujete. Uspeh pomeni, da je bil predvideni strežnik sprejet, ne da je bil neki certifikat pretlačen. Uradni priročnik OpenVPN 2.6 manual dokumentira tri vrste in njihove opombe o zaupanju, in to je referenca, ki se citira, ko se vmesnik ponudnika ne strinja s profilom.