Müştəri sertifikatı itdi? Adla deyil, seriya nömrəsi ilə ləğv edin

Müştərinizin sertifikat faylı yoxa çıxıb və ilk refleks adı ləğv edib yenisini verməkdir. Bu refleks orijinal sertifikatı etibarlı saxlayır, çünki ləğvetmə etiket üzərində deyil, seriya nömrəsi üzərində işləyir. CA çox güman ki, verdiyi sənədin surətini hələ də saxlayır və həmin surəti tapmaq bütün işdir.

Fayl itirmək CA-nın qeydini itirmək deyil

Easy-RSA PKI verdiyi açıq sertifikatları saxlayır, cari buraxılışlar isə seriyaya görə surətləri PKI-nin certs_by_serial qovluğunda arxivləşdirir. Heç nəyi ləğv etmək üçün şəxsi açar lazım deyil. Vacib olan CA-nın imzaladığı dəqiq sertifikatdır və o, artıq CA-dadır.

Düzgün PKI-nin ehtiyat surəti üzərində, ona sahib olan administratorla işləyin. Ləğvetmə gecə yarısı istehsal bazasında aparılan təmir deyil, auditə açıq əməliyyatdır.

Müştərinin daxili açıq sertifikatının surəti də yararlıdır, əgər yerləşdirmə birini saxlayıbsa.

Hər şeydən əvvəl verəni və seriyanı oxuyun

Bərpa olunmuş PEM-i yoxlayın və verəni, seriyanı, subyekti və etibarlılıq pəncərəsini yazın. Seriya bir verənin əhatəsində unikaldır, bütün mühitinizdəki hər CA üzrə deyil, ona görə də verən şəxsiyyətin bir hissəsidir. Bir neçə sertifikat eyni subyekti paylaşırsa, onları fərqləndirən məhz həmin seriyalardır.

Dəyərləri CA-nın qeydləri ilə və sertifikatın kimdə olduğunu düşündüyünüz cihaz və ya şəxslə tutuşdurun.

Ümumi ad təkrar istifadə oluna bilər və adətən də olunur. Seriyalar yazılana qədər hansı sertifikatların geri çəkiləcəyinə qərar verməyin.

Yeni sertifikatı ləğv etmək niyə heç nə etmir

Eyni ümumi adla əvəzləmə vermək fərqli seriyalı ikinci sertifikat yaradır. Əvəzləməni ləğv etmək yenisini geri çəkir və orijinalı bitənə qədər etibarlı saxlayır. CA-nın nöqteyi-nəzərindən bunlar iki müstəqil obyektdir və CRL adları deyil, seriyaları sadalayır. CA indeksi məhz bu səbəbdən hər verilmiş sertifikat üçün bir sətir saxlayır.

Eyni qarışıqlıq tərs səhvi doğurur: müştərinin faylını silmək və CA-nın onu unutduğunu güman etmək. Müştəridə silmə ləğvetmə hadisəsi deyil və surəti olan hər kəs üçün sertifikat işləməyə davam edir.

Hər iki səhv adı şəxsiyyət kimi qəbul etməkdən irəli gəlir.

Seriyanın adlandırdığı sertifikatı ləğv edin

CA-ya toxunmazdan əvvəl obyekti müəyyənləşdirin: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates dörd dəyəri bir keçiddə çap edir və CA arxivinə uyğunlaşdırdığınız şey seriyadır. Easy-RSA həmin arxivi pki/certs_by_serial altında saxlayır, hər seriyanın adına bir fayl. Ləğv əmri seriya deyil, ümumi ad qəbul edir, ona görə arxivlənmiş faylı pki/issued/<common-name>.crt ünvanına köçürün və adın müəyyən etdiyiniz obyektə işarə etməsinə icazə verin. PKI qovluğundan easyrsa revoke <common-name> əmrini işə salın, sonra index.txt faylındakı uyğun sətrin R simvoluna keçdiyini yoxlayın. Seriya obyekti seçmək üsulunuzdur, əmrin qəbul etdiyi arqument deyil.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt R göstərmirsə, dayanın və CRL yaratmazdan əvvəl xətanı oxuyun, çünki hələ etibarlı olan qeyddən qurulan CRL heç nəyi geri çəkmir. Yalnız sətir dəyişdikdən sonra easyrsa gen-crl əmrini işə salıb faylın paylanmasına keçirsiniz.

CRL-i həqiqətən tətbiq olunduğu yerdə dərc edin

PKI-nin dəstəklənən iş axını ilə yeni CRL yaradın, sonra onu bu verənin ləğvetmələrini tətbiq edən hər yoxlayıcıya dərc edin.

CA üzərində duran yenilənmiş fayl heç nəyi dəyişmir, çünki VPN qərarı öz yoxlayıcısında bitirir. CRL-in verənini, etibarlılıq müddətini və ləğv edilmiş seriyaları yoxlayın və xidmətin faylı yenidən yüklədiyini, əvvəlkini keşləmədiyini təsdiqləyin. Sahiblik və yol məzmun qədər vacibdir: daemonun oxuya bilmədiyi CRL heç CRL olmamasından fərqlənmir. OpenVPN-in crl-verify seçimi daemonun oxuduğu faylı adlandırır, ona görə server konfiqurasiyasında həmin yolu və faylın sahibliyini yoxlayın.

Faylın zaman damğası ilə deyil, real bağlantı cəhdi ilə yoxlayın.

CRL-in yanlış alət olduğunu nə vaxt bilməli

Verənin şəxsi açarına artıq etibar edilmirsə, məlum seriyaları geri çəkmək icazəsiz sahibkarların yeni sertifikatlar imzalamasının qarşısını ala bilməz. Bu, verən etimadının keçididir, yəni yeni CA və paylama planı tələb edir, CRL-də daha bir giriş deyil. Keçmiş administratorun girişi olması açarın sui-istifadə olunduğuna dair özlüyündə sübut deyil, ona görə etimadı yenidən qurmazdan əvvəl faktları əldə edin.

Status hərfini çevirmək üçün buraxılış bazasını əl ilə redaktə etmək imzalı ləğvetmənin əvəzi deyil və CRL-i qeydlərlə uyğunsuz qoyur.

Seriyanı, CRL-i və paylama addımını bir qeyddə saxlayın, növbəti audit oxu tapşırığına çevrilsin. Easy-RSA layihəsi quraşdırdığınız buraxılış üçün dəstəklənən əmrləri sənədləşdirir və izləməyə dəyən yeganə interfeys budur.