Një emër i përbashkët, dy certifikata: listë e lejuar apo revokim?

Rinxjerrja e një certifikati laptopi nën të njëjtin emër të përbashkët ndihet si zëvendësim, dhe të gjithë supozojnë se i vjetri ka vdekur. Nuk është. Paraardhësi mbetet një certifikat i vlefshëm i nënshkruar nga e njëjta autoritet, dhe çdo kontroll që pranon klientë me emër do të vazhdojë ta pranojë. Ajo që ndan një kontroll identiteti nga një kontroll kredencialesh është numri serial, dhe aty duhet të jetë rregullimi.

Filloni me politikën e emërtimit që përdor serveri

Dy kontrolle ngatërrohen: pranimi i një klienti sepse pretendon se është dikush, dhe heqja e një certifikati të caktuar nga shërbimi. I pari është kontroll emri, i dyti është kontroll revokimi. Përgjigjen pyetjeve të ndryshme, dhe një vendosje mund të ketë njërin pa tjetrin.

Lexoni konfigurimin e serverit dhe vini re cili burim identiteti është në lojë. username-as-common-name e bën emrin e përdoruesit të autentikuar emrin efektiv për kërkime specifike për klientin. Pa të, përdoret emri i përbashkët i subjektit nga certifikati. Cilado qoftë përgjigja, shkruajeni para se të prekni ndonjë listë të lejuar.

Të dyja rrugët japin një grup tjetër emrash të lejuar për të njëjtin certifikat. Të hamendësosh këtu do të thotë të editosh skedarin e gabuar dhe të konkludosh se kontrolli nuk funksionon.

Kontrolloni çfarë e pranon vërtet një klient

Një client-config-dir i lidhur me një skedar që përputhet ofron opsione specifike për klientin; më vete nuk është rregull pranimi. Pranimi me emër kërkon ccd-exclusive, i cili refuzon klientët pa një skedar që përputhet. Aktivizimi i tij në një vendosje aktive shkëput të gjithë ata emri i të cilëve nuk ka skedar, ndaj numëroni skedarët përpara se të ndryshoni ndonjë gjë.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Numri është kontrolli: krahasoni listimin e drejtorisë me identitetet që prisni të lidhen.

Pastaj konfirmoni që çdo emër skedari përputhet saktësisht me identitetin efektiv, duke përfshirë shkronjat e mëdha e të vogla dhe hapësirat. Një skedar për office-laptop nuk bën asgjë për një certifikat subjekti i të cilit lexohet Office-Laptop. Hapësirat në fund fshihen edhe nga një listim i thjeshtë, dhe kështu një skedar që duket i pranishëm mbetet i palexuar.

Kontrolloni CRL-në që ngarkon porta

Një CRL i emërton certifikatat e revokuara sipas lëshuesit dhe numrit serial, dhe kjo është hollësia që i mungon kontrollit të emrit. Dy certifikata mund të ndajnë një emër të përbashkët dhe të ndryshojnë në numrin serial, dhe vetëm një listë në nivel numri serial i ndan ato.

Konfirmoni rrugën e konfiguruar, datën e lëshimit dhe fushën e përditësimit të radhës përpara se t'i besoni skedarit fare.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Krahasoni numrin serial në CRL me numrin serial në certifikatën që synoni të mbani. Ai krahasim është i gjithë testi, dhe ta bësh një herë me sy vlen më shumë sesa t'i besosh një skripti që askush nuk e ka lexuar. Shpërndajeni CRL-në e përditësuar nëpër rrugën që porta tashmë lexon. Një CRL në drejtorinë e gabuar nuk zbaton asgjë, dhe asnjë regjistër klienti nuk do ta përmendë.

Zëvendësoni, pastaj provoni të dyja rezultatet

Lëshoni zëvendësimin nën të njëjtin emër të përbashkët, regjistroni të dy numrat serialë dhe vetëm atëherë revokoni të vjetrin. Ky renditje mban një identitet funksional në dispozicion ndërsa përgatitni ndryshimin.

Testoni së pari zëvendësimin: duhet të autentikohet dhe të arrijë gjithçka që i jep të drejtë emri i tij. Pastaj testoni certifikatën e vjetër dhe konfirmoni se refuzohet, sepse një zëvendësim i suksesshëm nuk thotë asgjë për revokimin. Nëse të dyja lidhen ende, hyrja e revokimit nuk lexohet ose numri serial i vjetër nuk u listua kurrë. Nëse asnjëra nuk lidhet, keni prishur rregullin e pranimit dhe jo kredencialet.

Sesionet e krijuara tashmë janë çështje më vete, sepse revokimi zbatohet për autentikime të reja, përveç rastit kur porta është konfiguruar edhe të presë lidhjet aktive. Vendosni nëse heqja e menjëhershme kërkohet përpara se t'ia premtoni dikujt.

Çfarë nuk mund të bëjë kurrë një kontroll emri

Një listë e lejuar përgjigjet nëse ky identitet mund të lidhet. Nuk mund të thotë cilin certifikat përdori ai identitet, dhe do të pranojë një kredencial më të vjetër për sa kohë kredenciali mbetet i vlefshëm dhe i parevokuar. Ajo e çarë shfaqet gjatë një incidenti, kur zëvendësimi u lëshua muaj më parë dhe paraardhësi ende funksionon.

Aty ku kërkohet kontroll në nivel certifikate, përdorni një mekanizëm që e emërton certifikatën: zëra CRL, ose një grep verifikimi që kontrollon një gjurmë gishti të mbajtur nga operatori. Të dyja kushtojnë mirëmbajtje, dhe të dyja janë të sinqerta për objektin që ekzaminojnë. manual i OpenVPN 2.6 dokumenton crl-verify dhe pranimin specifik për klientin si opsione të veçanta, pikërisht për këtë arsye.

Shkruani cili kontroll bën cilën punë, pastaj testoni rastin negativ. Një revokim që nuk e keni parë kurrë të refuzojë një lidhje është një konfigurim që shpresoni se funksionon.