Dy certifikata OpenVPN, një emër CCD: çfarë shkoi keq

Dy certifikata klienti me numra serialë të ndryshëm, çelësa të ndryshëm dhe madje subjekte të plota të ndryshme mund të përfundojnë gjithsesi në të njëjtin skedar politike, sepse serveri nuk shikon asgjë nga këto. Lexon një emër nga certifikata dhe hap skedarin përkatës të konfigurimit të klientit. Nëse të dyja certifikatat mbajnë të njëjtin emër, e dyta trashëgon politikën e të parës në momentin kur lidhet.

Përplasja krijohet gjatë regjistrimit dhe zbulohet vetëm gjatë lidhjes, zakonisht kur një pajisje merr një adresë ose një grup rrugësh që i përkasin një makine tjetër. Parandalimi i saj nënkupton që të bini dakord se cilin fushë serveri përshëndet, dhe më pas ta rezervoni atë vlerë përpara se të nënshkruhet gjithçka.

Mjetet tuaja të certifikatave nuk do t'ju paralajmërojnë, sepse uniciteti brenda X.509 dhe uniciteti i një emri politike OpenVPN janë kërkesa të ndryshme që zbatohen nga sisteme të ndryshme.

Serveri kërkon një emër, jo një gjurmë gishti

Me përshëndetjen e zakonshme të bazuar në certifikata, serveri merr emrin e përbashkët nga certifikata e paraqitur dhe kërkon një skedar me atë emër në drejtorinë e konfigurimit të klientëve. Ai skedar mund të fiksojë një adresë statike, të shtyjë rrugë ose të aplikojë shenja të murit të zjarrit për çdo klient. Kërkimi është një përputhje vargu me një emër skedari, prandaj shkronjat e mëdha e të vogla, hapësirat dhe shenjat e pikësimit janë të gjitha të rëndësishme.

Disa implementime e ndërrojnë qëllimisht përshëndetjen, në mënyrë që një emër përdoruesi i autentikuar të marrë emrin e përbashkët, dhe atëherë është emri i përdoruesit ai që duhet të jetë unik. Në çdo rast, vlera që zgjedh politikën është vlera që rezervoni. Vendosni cila është përpara se të lëshoni ndonjë gjë; hamendësimi pas një përplasjeje kushton më shumë sesa pyetja.

Ku dy autoritete takohen në të njëjtin emër

Një organizatë që pranon certifikata nga më shumë se një autoritet lëshues drejton dy procese regjistrimi të pavarura që shkruajnë në një hapësirë të vetme emrash. Rregullat e unicitetit të secilit autoritet zbatohen brenda vetë atij autoriteti, kështu që të dyja mund të lëshojnë ligjërisht për të njëjtin emër të përbashkët pa vënë re asnjëra ndonjë gjë të gabuar.

Numrat serialë nuk ndihmojnë. X.509 kërkon që një numër serial të jetë unik brenda fushës së lëshuesit të tij, çka është një veti e kontabilitetit të atij autoriteti dhe jo një identitet global i pajisjes. Kontrolli i subjektit është gjithashtu një provë e ndryshme nga kontrolli i emrit të përbashkët: dy certifikata mund të ndajnë një CN, por të ndryshojnë në njësinë organizative dhe për këtë arsye të mbajnë subjekte të dallueshme. Të gjitha këto veti mund të qëndrojnë ndërsa serveri vazhdon t'i përshëndesë të dyja certifikatat në një emër të vetëm skedari.

Dokumentacioni i OpenSSL CA mbulon cilësimin unique_subject që drejton mendimin e bazës së të dhënave të tij, dhe pikënisja e ndershme është të lexoni konfigurimin tuaj të lëshimit në vend që të supozoni se zbatohet një parazgjedhje e caktuar e EasyRSA ose OpenSSL.

Rezervoni emrin efektiv përpara nënshkrimit

Mbani një regjistër që përshëndet një pajisje me rekordin e saj të miratuar dhe prej andej me një emër të saktë skedari politike, në mënyrë që një emër të caktohet një herë dhe të mbetet i caktuar. Rezervimi duhet të jetë atomik, çka në praktikë do të thotë një kufizim i bazës së të dhënave ose një bllokim rreth hapit cakto-dhe-më-pas-nënshkruaj, jo një fletëllogaritëse që redaktohet nga dy persona.

Më pas bëni kontrollin pjesë të lëshimit: refuzoni të nënshkruani kur emri i kërkuar ekziston tashmë, dhe përfshini në atë kontroll çdo autoritet të cilit serveri i beson, sepse një emër i rezervuar nga autoriteti tjetër është po aq i zënë. Një kërkesë e refuzuar me arsye të qartë kushton më pak sesa një tiketë për një pajisje që vazhdimisht merr adresën statike të dikujt tjetër.

Rinovimi e ripërdor një emër me qëllim

Rilëshimi për një pajisje ekzistuese duhet të prodhojë një numër serial të ri nën të njëjtin emër politike, dhe ky është ripërdorim i ligjshëm dhe jo një përplasje. Ajo që duhet vendosur paraprakisht është mbivendosja: nëse certifikata e vjetër dhe e re mund të jenë të vlefshme njëkohësisht, dhe si tërhiqet kredenciali i vjetër.

Mos u mbështetni në duplicate-cn për ta zgjidhur këtë. Ai opsion i serverit drejton lidhjet e njëkohshme që paraqesin të njëjtin emër; nuk e bllokon regjistrimin, dhe aktivizimi i tij nuk e bën një adresë statike të përbashkët të sigurt për dy makina njëkohësisht. Revokimi normalisht identifikon një certifikatë sipas lëshuesit dhe numrit serial, kështu që tërheqja e kredencialit të vjetër nuk duhet ta anulojë zëvendësimin e tij për sa kohë serveri merr dhe zbaton të dhënat e sakta të revokimit.

Konfirmoni përshëndetjen me mjetet në makinë

Përpara se t'i jepni një pajisjeje kredencialin e saj të ri, lexoni emrin nga certifikata ashtu siç do të bëjë serveri, dhe më pas krahasojeni me skedarin e politikës që prisni të zgjidhet.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Komanda e parë i shtyp fushat e subjektit veçmas, gjë që e bën menjëherë të dukshme një njësi organizative të humbur ose një hapësirë të dyfishuar. E dyta konfirmon se ekziston një skedar politike pikërisht nën atë emër, dhe e treta tregon nëse serveri është konfiguruar të lejojë disa sesione në një emër. Ekzekutoni të treja mbi një certifikatë të re përpara se ajo të largohet nga hapi i regjistrimit, ndërsa një gabim kushton ende një nënshkrim dhe jo një incident. Ruani daljen bashkë me tiketën, në mënyrë që personi tjetër të shohë çfarë emri mori në të vërtetë serveri.

Përfundoni me një lidhje të vërtetë dhe krahasoni adresën e caktuar dhe rrugët e shtyra me skedarin e politikës, dhe jo me atë që kishit ndërmend të shkruani. Nëse dy pajisje raportojnë të njëjtën adresë statike, regjistri ka një përplasje që asnjë inspektim certifikatash nuk do ta zbulojë kurrë.