ทำไมใบรับรอง OpenVPN สองใบจึงแชร์นโยบาย CCD ใบเดียวกันได้

CA สามารถลงนามในใบรับรองสองใบที่ได้รับ OpenVPN การกำหนดค่าเฉพาะไคลเอนต์เดียวกัน และไม่มีสิ่งใดในใบรับรองทั้งสองใบเตือนใครเลย หมายเลขซีเรียลแตกต่างกัน คีย์แตกต่างกัน และชื่อเรื่องแบบเต็มก็แตกต่างกันเมื่อหน่วยองค์กรเปลี่ยน เซิร์ฟเวอร์ตัดสินนโยบายของไคลเอนต์แต่ละรายผ่านชื่อเดียว และชื่อนั้นคือสิ่งเดียวที่ต้องไม่ซ้ำกัน

เซิร์ฟเวอร์ตัดสินด้วยชื่อ ไม่ใช่หมายเลขซีเรียล

ในการค้นหาใบรับรองแบบธรรมดา เซิร์ฟเวอร์จะนำชื่อทั่วไปจากใบรับรองที่นำเสนอและมองหารายการ client-config-dir ที่มีชื่อนั้น หมายเลขซีเรียลไม่เคยเข้าไปในการค้นหา ใบรับรองสองใบที่ต่างกันในทุกฟิลด์ยกเว้นชื่อทั่วไปจะไปลงเอยที่ไฟล์เดียวกัน การเชื่อมต่อที่สองจึงสืบทอดที่อยู่คงที่และเส้นทางที่ถูกส่งของอุปกรณ์แรก

นั่นคือวิธีที่การตรวจสอบความไม่ซ้ำฝั่ง CA ผ่านไปได้ในขณะที่ VPN ยังคงชนกัน การตรวจสอบทั้งสองตอบคำถามที่ต่างกัน

ตัดสินใจว่าชื่อที่มีผลควรเป็นอะไรก่อนลงนามสิ่งใด และบันทึกไว้ข้างอุปกรณ์หรือบัญชีที่เป็นเจ้าของ ทะเบียนของชื่อ เจ้าของ วัตถุประสงค์ และลายนิ้วมือใบรับรองครอบคลุมการติดตั้งส่วนใหญ่ หากไม่มี ทะเบียนใบรับรองจะเป็นบันทึกเดียวว่าชื่อใดเป็นของอุปกรณ์ใด และทะเบียนนั้นไม่สามารถแยกการแทนที่ที่ได้รับอนุญาตออกจากอุปกรณ์ที่สองที่อ้างชื่อที่มีอยู่ได้ จองชื่อตั้งแต่การลงทะเบียน ภายใต้การล็อกหากผู้ปฏิบัติงานสองคนออกใบรับรองพร้อมกันได้

ชื่อใดที่การแมปใช้จริง

การค้นหาใบรับรองแบบธรรมดาใช้ชื่อทั่วไป เซิร์ฟเวอร์ที่ตั้งค่าให้แมปชื่อผู้ใช้ที่ผ่านการพิสูจน์ตัวตนจะใช้ค่านั้นแทน ซึ่งทำให้ชื่อทั่วไปของใบรับรองไม่เกี่ยวข้องกับการเลือกนโยบาย อ่านการกำหนดค่าที่กำลังทำงานเพื่อดูว่าการแมปใดมีผล

การแมปทั้งสองแบบสามารถอยู่พร้อมกันได้ และผลลัพธ์จะขึ้นอยู่กับลำดับที่เซิร์ฟเวอร์ตัดสิน การแมปชื่อผู้ใช้ที่ถอยกลับไปใช้ชื่อทั่วไปจะยอมรับใบรับรองที่ทะเบียนไม่เคยอนุมัติอย่างเงียบ ๆ เขียนชื่อที่มีผลไว้ข้างคำสั่งที่สร้างมันขึ้นมา เพื่อให้ผู้ปฏิบัติงานคนถัดไปไม่ต้องค้นพบลำดับอีกครั้ง การทดสอบหนึ่งการเชื่อมต่อต่อการแมปนั้นราคาถูกและยุติคำถามได้

อะไรก็ตามที่การแมปสร้างขึ้น ค่านั้นคือค่าที่ต้องจอง การจองชื่อทั่วไปใน CA ในขณะที่เซิร์ฟเวอร์ใช้ชื่อผู้ใช้เป็นหลักคือการจองสิ่งที่ผิด

CA สองแห่งสามารถอนุมัติชื่อเดียวกันได้

บริการ VPN สามารถไว้วางใจหน่วยออกใบรับรองมากกว่าหนึ่งหน่วย และแต่ละหน่วยก็มีความคิดของตนเองว่าชื่อใดถูกใช้ไปแล้ว CA อิสระสองแห่งสามารถอนุมัติชื่อทั่วไปเดียวกันให้กับอุปกรณ์ต่างกันได้ และเซิร์ฟเวอร์ก็ยอมรับใบรับรองทั้งสองใบโดยไม่มีการร้องเรียน จัดทำบัญชีรายชื่อทุกหน่วยในชุดความเชื่อถือ ไม่ใช่เฉพาะหน่วยที่คุณออกใบรับรองเป็นปกติ ความล้มเหลวจะปรากฏขึ้นครั้งแรกเมื่อมีการใช้ใบรับรองจากหน่วยที่สอง

เหตุผลเดียวกันใช้กับ CA ที่บังคับความไม่ซ้ำของชื่อเรื่องแบบเต็มแทนความไม่ซ้ำของชื่อทั่วไป

ใบรับรองสองใบที่ใช้ชื่อทั่วไปร่วมกันแต่ต่างกันที่หน่วยองค์กรมีชื่อเรื่องต่างกัน CA จึงไม่รายงานความขัดแย้งในขณะที่เซิร์ฟเวอร์เห็นชื่อเดียว ตรวจสอบการตั้งค่าที่เครื่องมือออกใบรับรองของคุณใช้จริงแทนการสมมติค่าเริ่มต้น การจัดการ unique_subject ในเอกสาร openssl ca คือปุ่มที่เกี่ยวข้องตรงนั้น และตัวห่อรอบเครื่องมือนั้นมักจะเปิดเผยมันแทนที่จะแทนที่

การต่ออายุคือการใช้ซ้ำที่จองไว้ ไม่ใช่การชนกัน

การต่ออายุที่เก็บชื่อเดิมไว้คือการใช้ซ้ำโดยเจตนา และทะเบียนควรระบุเช่นนั้นด้วยถ้อยคำง่าย ๆ บันทึกลายนิ้วมือเก่าและใหม่ภายใต้ชื่อเดียว เพื่อให้ผู้ตรวจสอบแยกการแทนที่ออกจากการยึดครองได้ ตัวเลือก duplicate-cn ของเซิร์ฟเวอร์ไม่เกี่ยวข้อง เพราะควบคุมเซสชันที่เกิดขึ้นพร้อมกัน ไม่ใช่การลงทะเบียนหรือการจองชื่อ ตัดสินใจว่าข้อมูลรับรองทั้งสองจะอยู่ได้นานเท่าใด และเมื่อใดจึงจะเลิกยอมรับข้อมูลเก่า

ก่อนส่งมอบการแทนที่ ให้อ่านย้อนกลับว่าใบรับรองมีอะไรอยู่จริง ๆ บรรทัดชื่อเรื่องคือฟิลด์ที่เซิร์ฟเวอร์จะแมป ไม่ว่าชื่อไฟล์จะบอกเป็นนัยอะไร

openssl x509 -in device42.crt -noout -subject -serial -issuer

การเพิกถอนมักระบุใบรับรองภายใต้ผู้ออกใบรับรอง ดังนั้นการปลดระวางหมายเลขซีเรียลหนึ่งหมายเลขจึงไม่กระทบการแทนที่ที่ออกอย่างถูกต้องจากหน่วยเดียวกัน นั่นคือพฤติกรรมที่การต่ออายุที่สะอาดต้องการ และนั่นคือเหตุผลว่าทำไมการเพิกถอนจึงไม่สามารถล้างชื่อที่อุปกรณ์สองเครื่องใช้ร่วมกันได้ ตรวจสอบชื่อนโยบายที่มีผลและที่อยู่ที่จัดสรรในการเชื่อมต่อทดสอบก่อนที่ผู้ใช้จะเห็นอุปกรณ์ จากนั้นปลดระวางข้อมูลรับรองเก่าโดยเจตนาและบันทึกว่าคุณได้ทำเช่นนั้น