Nebula qara siyahısı: onu paylaşdırın, mayak bunu etməyəcək

Qara siyahının tətbiqi yoxlamanı aparan hostun xassəsidir, yoxlanılan sertifikatın deyil. Qeydi heç vaxt yükləməmiş maşın identikliyi qəbul etməyə davam edir və handshake-də heç nə sizə iki peer-in fikir ayrılığında olduğunu xəbərdar etmir. Bir ifşa olunmuş etimadnamə üçün ucuz həll və bahalı həll əhatə dairəsi və geri qaytarıla bilməsi ilə fərqlənir, ona görə qəsdən seçin. Aşağıdakı bölmələr qeydin nə etdiyini, harada çatdırılmalı olduğunu, dəyişdirmənin nə vaxt daha yaxşı cavab olduğunu və hər ikisinin işlədiyini necə sübut etməyi əhatə edir.

Qara siyahı qeydi əslində nə edir

PKI konfiqurasiyası hostun rədd etməli olduğu barmaq izlərini sadalayır, hətta sertifikat qanuni imzalanmış və vaxtı bitməmiş olsa da. Tətbiq lokal olaraq, həmin hostun xidmət başlayanda yüklədiyi siyahıya qarşı baş verir. Qeyd barədə heç nə sertifikatın içində səyahət etmir, ona görə peer ona göstərilən etimadnamədən qərarı öyrənə bilməz. Buna görə mayakın burada heç bir rolu yoxdur: mayaklar peer-lərə bir-birini tapmağa və birbaşa yol uğursuz olduqda trafiki ötürməyə kömək edir. Onlar kəşfiyyat və ötürmə qatıdır, konfiqurasiya paylama kanalı deyil.

Bir maşını yeniləmək həmin maşının qərarlarını dəyişir və hər digər peer-i olduğu kimi saxlayır. İmzalayan orqana güvənən və qeydi heç vaxt görməmiş peer-in heç nəyi rədd etməyə səbəbi yoxdur. Buna görə ləğvetməni mayaka baxaraq yoxlamaq heç nə sübut etmir, çünki baxdığınız komponentdən heç vaxt siyahını tətbiq etmək tələb olunmayıb.

Sertifikatı müəyyən edin, cihazı yox

Rədd etmək istədiyiniz etimadnamənin barmaq izini istifadə edin, çünki host adı, cihaz etiketi və ya cari ünvan bu gün bir maşını, gələn ay başqa bir şeyi müəyyən edir. Bu sətirlərin heç biri qara siyahıda görünmür və heç biri yenidən quraşdırmadan sonra qalmır. Sertifikatı çap edin, barmaq izini oxuyun və onun dəyişdirilən etimadnaməyə aid olduğunu, onun əvəzedicisinə yox, yoxlayın. Əvəzedici artıq verilibsə, hər iki faylı oxumaq vacibdir, çünki köhnə və yeni sertifikatlar eyni adı paylaşa və bütün digər sahələrdə fərqlənə bilər.

Hansı barmaq izinin nə vaxt bloklandığını qeyd edin ki, sonrakı audit tamamlanmış dəyişikliyi nəzərdə tutulmuş dəyişiklikdən ayırsın. Qeydin nə etmədiyini də qeyd edin: o, imzalayan orqanı etibarsız etmir və həmin orqandan gələcək sertifikatın qəbulunu dayandırmır. Host sertifikatını bloklamaq və kompromisə uğramış orqanı əvəz etmək fərqli nəticələri olan fərqli əməliyyatlardır.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Onu hər hansı digər konfiqurasiya kimi paylayın

Siyahıya yadda saxlayanda redaktə olunan fayl kimi deyil, çatdırılma mexanizmi olan konfiqurasiya kimi yanaşın. Deltanı deyil, bütün siyahını göndərin ki, əvvəlki yeniləməni buraxmış host boşluqları yığmaq əvəzinə yaxınlaşsın. Nebula PKI sənədləşməsi məhz bunu tövsiyə edir və məsləhəti əl prosesinə çevirmək əvəzinə hərfi şəkildə izləməyə dəyər.

İşləyən xidmətin məzmunu yenidən yüklədiyini təsdiqləyin, sadəcə diskdəki faylın dəyişdiyini yox. Dəyişikliyi hansı maşınların tətbiq etdiyini izləyin və gözləyən siyahını boşalana qədər görünən saxlayın. Bir həftə bağlı qalmış noutbuk qərarı heç vaxt öyrənməmiş peer-dir və heç kimin gözləmədiyi şəbəkədən yenidən qoşula bilər. Çatdırılma üsulunu barmaq izinin yanında qeyd edin, çünki növbəti ləğvetmə onu yenidən istifadə edir və proses ilk dəfə məhz orada sazlanır.

Qara siyahı və ya orqan dəyişdirməsi

Qara siyahı qeydi dardır: bir identiklik işləməyi dayandırır və qalan hər şey davam edir. İmzalayan orqanı dəyişdirmək genişdir: onun verdiyi hər sertifikat etibarsız olur və hər host yeni etimadnamə və yeni etimad ankerinə ehtiyac duyur. Birincisi hədəflənmiş ləğvetmə, ikincisi miqrasiyadır, ona görə fərqli təsdiqlər və fərqli texniki xidmət pəncərələri tələb edirlər. Cədvəl ikisini əhatə dairəsi, səy və geri qaytarıla bilmə baxımından yan-yana qoyur.

İtirilmiş noutbuk qara siyahını tələb edir, çünki təsir radiusu bir identiklikdir və səhv barmaq izini bloklamısınızsa, dəyişiklik geri qaytarıla bilər. Sızmış orqan açarı dəyişdirmə tələb edir, çünki qara siyahı hələ verilməmiş sertifikatlarla kömək edə bilməz. Bu ifratlar arasında soruşun ki, ifşa olunmuş etimadnamə başqa nəyisə imzalaya bilərdimi, çünki orqan bir hostdan çoxdur.

Qərarı hadisədən əvvəl yazın, çünki təzyiq altında seçim adətən geniş variantı standart olaraq ortaya çıxarır. Hansı yolu tutsanız da, qalan iş maddəsi eynidir: tətbiqin vacib olan hostlarda baş verdiyini sübut etmək. Barmaq izini və tarixi həmin anda qeyd etmək sübutu sonradan mümkün edən şeydir.

Rəddi və qalanı yoxlayın

Bloklanmış identiklikdən qoşulun və uğursuzluğu təsdiqləyin, sonra səlahiyyətli peer-dən qoşulun və onun hələ də lazım olanı əldə etdiyini təsdiqləyin. Hər kəsi pozan dəyişiklik uğurlu ləğvetmə deyil. Hər ikisini təzə sessiyalardan edin, çünki keşlənmiş vəziyyət nəticəni gizlədə bilər.

Dəyişiklikdən sonra qurulmuş sessiyanın bitib-bitmədiyini yoxlayın və fayl redaktəsinin nəyisə dayandırdığını fərz etmək əvəzinə davranışı öz versiyanız və konfiqurasiyanız üçün qeyd edin. disconnect_invalid seçimi sertifikatları vaxtı bitmiş və ya etibarsız olan klientləri əhatə edir, ona görə ona güvənməzdən əvvəl bunun sizin halınıza necə aid olduğunu təsdiqləyin. Dərhal dayandırma tələbdirsə, bunu xüsusi olaraq sınaqdan keçirin və müşahidə etdiyinizi qeyd edin. Sonra testi yenidən başlatmadan sonra təkrarlayın, çünki siyahını yalnız növbəti yenidən başlatmaya qədər tətbiq edən hostun ilk testin gizlətdiyi çatdırılma problemi var. Sağlam mayak kəşfiyyatın işlədiyini deyir, heç bir peer-in siyasət tətbiq etdiyini yox.