Kliëntsertifikaat weg? Herroep op reeksnommer, nie op naam nie

Jou kliënt se sertifikaatlêer is weg, en die refleks is om die naam te herroep en 'n nuwe een uit te reik. Daardie refleks laat die oorspronklike sertifikaat geldig, want herroeping werk op 'n reeksnommer eerder as op 'n etiket. Die CA hou byna sekerlik nog 'n kopie van wat hy uitgereik het, en om daardie kopie te vind is die hele taak.

Om 'n lêer te verloor is nie om die CA se rekord te verloor nie

'n Easy-RSA-PKI hou die openbare sertifikate wat hy uitgereik het, en onlangse weergawes argiveer ook kopieë per reeksnommer onder die PKI se certs_by_serial-gids. Die private sleutel is nie nodig om enigiets te herroep nie. Wat saak maak, is die presiese sertifikaat wat die CA onderteken het, en dit het die CA reeds.

Werk op 'n rugsteunkopie van die regte PKI, saam met die administrateur wat dit besit. Herroeping is 'n ouditeerbare handeling eerder as 'n herstel wat om middernag op 'n produksiedatabasis gedoen word.

'n Kopie van die kliënt se ingebedde openbare sertifikaat werk ook, as die ontplooiing een gehou het.

Lees eers die uitreiker en die reeksnommer

Ondersoek die herwonne PEM en skryf die uitreiker, die reeksnommer, die subjek en die geldigheidsvenster neer. Die reeksnommer is uniek binne een uitreiker se bestek, nie oor elke CA in jou omgewing nie, so die uitreiker is deel van die identiteit. As verskeie sertifikate 'n subjek deel, is dit daardie reeksnommers wat hulle onderskei.

Vergelyk die waardes met die CA se rekords en met die toestel of persoon wat jy glo die sertifikaat het.

'n Algemene naam kan hergebruik word, en dit gebeur gewoonlik. Moenie besluit watter sertifikate teruggetrek moet word voordat die reeksnommers neergeskryf is nie.

Waarom herroeping van die nuwe sertifikaat niks doen nie

Om 'n vervanging met dieselfde algemene naam uit te reik, skep 'n tweede sertifikaat met 'n ander reeksnommer. Om die vervanging te herroep, trek die nuwe een terug en laat die oorspronklike geldig totdat dit verval. Uit die CA se oogpunt is dit twee onafhanklike objekte, en 'n CRL lys reeksnommers eerder as name. Die CA-indeks hou juis daarom een ry per uitgereikte sertifikaat.

Dieselfde verwarring lewer die omgekeerde fout op: die kliënt se lêer uitvee en aanneem die CA het dit vergeet. Uitvee op die kliënt is nie 'n herroepingsgebeurtenis nie, en die sertifikaat bly werk vir enigiemand wat 'n kopie het.

Beide foute kom daarvan om die naam as die identiteit te behandel.

Herroep die sertifikaat wat die reeksnommer noem

Identifiseer die objek voordat jy aan die CA raak: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates druk die vier waardes in een lopie, en die reeksnommer is wat jy teen die CA-argief pas. Easy-RSA hou daardie argief onder pki/certs_by_serial, met een lêer vernoem na elke reeksnommer. Die herroepingsopdrag neem 'n algemene naam eerder as 'n reeksnommer, so kopieer die geargiveerde lêer na pki/issued/<common-name>.crt en laat die naam na die objek wys wat jy geïdentifiseer het. Voer easyrsa revoke <common-name> uit die PKI-gids uit en kyk dan of die ooreenstemmende ry in index.txt na R omgeskakel het. Die reeksnommer is hoe jy die objek kies, nie 'n argument wat die opdrag aanvaar nie.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

As index.txt nie R wys nie, stop en lees die fout voordat jy 'n CRL genereer, want 'n CRL wat uit 'n rekord gebou is wat steeds geldig is, trek niks terug nie. Eers nadat die ry omgeskakel het, voer jy easyrsa gen-crl uit en gaan voort na die verspreiding van die lêer.

Publiseer die CRL waar dit werklik afgedwing word

Genereer 'n nuwe CRL deur die PKI se ondersteunde werkvloei, en publiseer dit dan by elke verifieerder wat hierdie uitreiker se herroepings afdwing.

'n Opgedateerde lêer wat op die CA sit, verander niks, want die VPN eindig die besluit by sy eie verifieerder. Kontroleer die CRL se uitreiker, sy geldigheidsperiode en die herroepde reeksnommers, en bevestig dat die diens die lêer herlaai eerder as om die vorige een te kas. Eienaarskap en pad maak net so veel saak soos inhoud: 'n CRL wat die daemon nie kan lees nie, is nie van geen CRL te onderskei nie. OpenVPN se crl-verify-opsie noem die lêer wat die daemon lees, so kontroleer daardie pad en die lêer se eienaarskap in die bedienerkonfigurasie.

Verifieer met 'n werklike verbindingspoging, nie met die lêer se tydstempel nie.

Weet wanneer 'n CRL die verkeerde instrument is

As die uitreiker se private sleutel nie meer vertrou word nie, kan die terugtrekking van bekende reeksnommers nie 'n ongemagtigde houer keer om nuwe sertifikate te onderteken nie. Dit is 'n oorgang van uitreikervertroue, wat 'n nuwe CA en 'n verspreidingsplan beteken, nie nog 'n inskrywing in die CRL nie. Dat 'n voormalige administrateur toegang gehad het, is op sigself nie bewys dat die sleutel misbruik is nie, so kry die feite voordat jy vertroue herbou.

Om die uitreikingsdatabasis met die hand te wysig om 'n statusletter om te draai, is nie 'n plaasvervanger vir 'n ondertekende herroeping nie, en dit laat die CRL teenstrydig met die rekords.

Hou die reeksnommer, die CRL en die verspreidingsstap in een nota, en die volgende oudit word 'n leesoefening. Die Easy-RSA-projek dokumenteer die ondersteunde opdragte vir die weergawe wat jy geïnstalleer het, en dit is die enigste koppelvlak wat die moeite werd is om te volg.