Windows'ta OpenVPN 3 ve Connect'te cryptoapicert neden başarısız oluyor

Çalışan bir OpenVPN 2 profilini daha yeni bir Windows istemcisine kopyalıyorsunuz, ve eski istemcinin kendi başına bulduğu sertifika artık sunulmuyor. Bunu mümkün kılan satır Community 2 istemcisine ait Windows'a özgü bir seçicidir ve yeni uygulama farklı bir kimlik bilgisi yolu olan başka bir programdır. Profil o tek satır dışında değişmemiştir ve farkı görmeyi zorlaştıran da tam olarak budur.

O raporda üç katman birbirine karışıyor: Community istemcisi, çekirdek kitaplık ve birinin kurduğu ön yüz. Bunlardan yalnızca biri yönergeyi hiç anladı.

Bu seçenek var olduğu yerde ne anlama geliyor

Windows'ta Community OpenVPN 2 istemcisinde cryptoapicert, istemcinin dosyada değil Windows sertifika deposunda bulması gereken sertifikayı adlandırır. Bu Windows'a özgü bir kolaylıktır ve çalışır çünkü o istemci depoyu nasıl listeleyeceğini ve elde edilen anahtarı kendi TLS yığınına nasıl vereceğini bilir. Dolayısıyla yönerge o istemcinin yapılandırma dilinin parçasıdır, OpenVPN protokolünün bir özelliği değildir. İletim biçiminde onu taşıyan hiçbir şey yoktur.

Aynı satırı başka bir uygulamaya kopyalayın; yeni programın ayrıştırabileceği, yok sayabileceği veya reddedebileceği bir kelimeyi kopyalamış olursunuz. Yönerge bir protokol özelliği değildir ve bu, OpenVPN konuşan her istemcinin özelliği bile değildir.

Çekirdek kitaplık bunun yerine ne sunar

OpenVPN 3 Core, diğer uygulamaların gömülü olarak kullandığı bir kitaplıktır ve dış kimlik bilgilerini depo araması yerine bir API üzerinden işler. Gömen uygulama bir sertifika zinciri sağlar ve daha sonra kitaplıktan harici bir anahtarla imzalamasını ister, kitaplık da bunu yapmak için uygulamaya geri çağrıda bulunur. Bu daha genel bir tasarımdır ve hangi sağlayıcıların var olduğuna ön yüzün karar verdiği anlamına gelir. Kitaplığın kendi seçenek işleyişinde cryptoapicert uygulanmayan yönergeler arasında görünür, bu da söz konusu sorumluluk dağılımıyla tutarlıdır.

Bu geri çağrıların varlığı, belirli bir paketlenmiş uygulamanın geçerli kullanıcının kişisel deposunu listelediği, belirli bir anahtar sağlayıcısını desteklediği veya akıllı kart istemini tamamlayabildiği anlamına gelmez. Bunlar ön yüzün özellikleridir ve her birinin ön yüz tarafından belgelenmesi gerekir.

Windows ön yüzü bunun yerine ne yapar

OpenVPN Connect farklı bir yol izler: operatör bir PKCS#12 dosyasını içe aktarır ve dosya sertifikayı ve özel anahtarını içerir, bunu bu amaç için oluşturulmuş bir OpenVPN Certificate Store'a koyar, ardından harici sertifikayı profile atar. Bu bilinçli bir içe aktarma adımıdır, kişisel depoda ne varsa onu otomatik keşfetmek değildir. Birinin başka bir amaçla yüklenmiş sertifikanın istemcinin listesinde öylece görüneceğini varsaydığı durumda bu ayrım önemlidir.

İçe aktarmanın anahtar politikası açısından da bir sonucu vardır, çünkü bir anahtarı P12 dosyasına dışa aktarmak, dışa aktarılamaz bir anahtarın tam olarak önlemek için tasarlandığı şeydir. Bu yapılandırma değil politika sorusudur ve biri içe aktarmayı denemeden önce yanıtı hak eder.

Anahtarın politikasına uyan bir yol seçin

Kimlik bilgisi dışa aktarılabilirse ve politika belgelenmiş içe aktarmaya izin veriyorsa, kuruluşun korumalı kayıt sürecini kullanın ve geçici P12 ile parolasını günlüklerden ve betiklerden uzak tutun. Anahtar bir akıllı karttan veya korumalı bir sağlayıcıdan asla ayrılmamalıysa, bu gereksinimi açıkça destekleyen bir istemci ve sağlayıcı bileşimi seçin ya da yüklediğiniz sürüm için satıcıdan onay alın. İki daldan hiçbiri diğeri için bir kestirme değildir.

Yönergeyi profile geri eklemek, uygulamanın sahip olmadığı bir entegrasyonu sağlayamaz. Daha yeni bir istemci sürümü de bunu zorunlu olarak eklemez, çünkü yetenek ön yüzün kendi tasarımına aittir.

Yerel anahtar çalıştıktan sonra bile sunucu sertifikanın kimliğini, zinciri ve yetkilendirmeyi denetler. Kullanılabilir bir yerel anahtar ile kabul edilmiş bir VPN kimliği ayrı sonuçlardır ve bunları ayrı tutmak, ön yüz sınırlamasının zayıflamış bir sertifika politikasına dönüşmesini engelleyen şeydir.