Yanlış VPN sertifikatı ləğv edildi? Bərpa variantları və məhdudiyyətlər

Kiminsə CA konsolunda sertifikatı ləğv edib və indi istifadəçi qoşula bilmir. İlk instinkt geri qaytarma düyməsini axtarmaqdır, lakin əksər PKI-lərdə belə bir şey yoxdur: ləğv seriya nömrəsi haqqında bəyan edilmiş faktdır və dəstəklənən geri yol yeni sertifikatdır, tərsinə çevrilmiş qeyd deyil. Aşağıdakı yoxlamaları sıra ilə keçin, çünki hansı bərpaya icazə verildiyi səbəb kodundan və açarın heç vaxt açılmadığından asılıdır.

Şəxsi deyil, sertifikatı müəyyənləşdirin

Ümumi adlar təkrarlanır. Keçən rübdə yenidən qeydiyyatdan keçmiş istifadəçinin eyni CN ilə iki fərqli seriyalı sertifikatı ola bilər və birini ləğv etmək digərini işlək saxlayır. Əvvəlcə dəqiq obyekti müəyyənləşdirin:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Seriya nömrəsini, verən orqanı, ləğv tarixini və CRL-də qeyd olunan səbəbi yazın. Sonra həmin seriyanı hansı cihazların təqdim etdiyini təsdiqləyin, çünki ləğv edilmiş sertifikat hələ də noutbukda, telefonda və ehtiyat marşrutlaşdırıcıda quraşdırılmış ola bilər və yalnız birinə çatan əvəz ikinci hadisə yaradır.

Sürətli davranış yoxlaması heç nəyi dəyişmədən vəziyyəti təsdiqləyir:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Əgər bu, sertifikatı ləğv edilmiş kimi göstərirsə, CRL və müştəri razıdır; əgər təmiz təsdiqlənirsə, əlinizdəki müştəri ləğv edilmiş olan deyil və axtarış davam edir.

CA-nın gözlətmə, yoxsa daimi ləğvdən istifadə etdiyini yoxlayın

RFC 5280 certificateHold-i müvəqqəti vəziyyət, removeFromCRL-i isə onu azad edən siqnal kimi müəyyən edir. Bu həyat dövrü realdır, lakin ümumi geri qaytarma düyməsi deyil. Səbəb kodunu oxumaq sizə verən orqanın azadetməni dəstəkləməyi heç vaxt nəzərdə tutub-tutmadığını deyir.

Tələ müvəqqəti niyyətin müvəqqəti qeyd demək olduğunu güman etməkdir. Əgər CA qeydi keyCompromise və ya cessationOfOperation daşıyırsa, düyməni basan şəxsin nə etmək istəməsindən asılı olmayaraq sertifikat daimi ləğv edilib. Əksinə, gözlətmə azadetməsini tətbiq etməyən CA-da certificateHold kimi işarələnmiş qeyd praktikada daimidir, çünki heç nə azadetməni heç vaxt dərc etməyəcək.

OpenSSL əsaslı CA-lar bu həddi göstərir. ca əmri -crl_reason dəyərlərini, o cümlədən certificateHold və removeFromCRL-u qəbul edir, lakin delta CRL-lər yaratmır — OpenSSL CA sənədləri CRL çıxışı üçün bu məhdudiyyəti qeyd edir. Seriyanı sadəcə buraxan tam CRL, "bu qeyd azad edildi" deyən deltadan fərqli bir dərc modelidir, ona görə də removeFromCRL-i OpenSSL əsaslı VPN CA-ya yapışdırmaq standartlarla müəyyən edilmiş azadetmə yaratmır.

Açar açılmış ola bilərsə, onu dəyişdirin

Ləğv edilmiş sertifikat bu açarın artıq etibarlı olmaya biləcəyi barədə bəyandır. Əgər ləğv mahiyyətcə düzgün idisə — noutbuk itdi, açar ümumi diskə köçürüldü, şəxsi açar bilete yapışdırıldı — eyni sertifikatın bərpası düzgün işləyən təhlükəsizlik qərarını tərsinə çevirir.

Qeydiyyat prosesi ilə yeni açar cütü verin, yeni profili paylayın və köhnə seriyanı bütün ömrü boyu ləğv edilmiş saxlayın. Seriya və ya barmaq izi ilə kimliyi sabitləyən hər şeyi yeniləyin, o cümlədən qəbul siyahıları, cihaz inventarları və müəyyən sertifikat gözləyən monitorinq.

Köhnəni bərpa etməyin rahatlıq arqumenti realdır, lakin ona səssizcə deyil, açıq şəkildə cavab verilməlidir. "İstifadəçiyə bu gün giriş lazımdır" verməni sürətləndirmək üçün səbəbdir, hesabını verə bilmədiyiniz açarın ləğvini geri götürmək üçün deyil.

Əgər bu inzibati səhv idisə, nəzarət altında dəyişdirin

Ləğv sadəcə səhv olduqda və açar heç vaxt açılmadıqda, bərpa yenə də redaktə deyil, idarə olunan dəyişdirmədir. Verən orqanın dəstəklədiyi prosesdən istifadə edin, seriya və vermə tarixçəsini toxunulmaz saxlayın və iki cəlbedici qısa yoldan çəkinin: index.txt faylındakı status simvolunu R-dən yenidən V-ə çevirmək və yeni sertifikatın seriyanı təkrar istifadə etməsi üçün vermə sətrini silmək.

OpenSSL CA-da verilənlər bazası tab ilə ayrılır və səhv oxumaq asandır, bu da əl ilə redaktəni cəlbedici edir:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Oxuyun, yazmayın. Faylı redaktə etmək növbəti CRL-i heç bir audit izi olmadan dəyişir və orijinal sətri hələ də saxlayan istənilən ikinci CA nüsxəsi və ya ehtiyat nüsxə sonradan onunla ziddiyyət təşkil edəcək.

Əvəzi verdikdən sonra normal mexanizm vasitəsilə təzə CRL dərc edin və müştərilərin onu götürməsinə icazə verin. CRL-i silmək, ömrünü sıfıra qədər qısaltmaq və ya müştəri profilində ləğv yoxlamasını söndürmək bir istifadəçini CA-nın indiyədək dərc etdiyi hər digər ləğvi zəiflətməklə düzəldir.

Təzə qəbulu təsdiqləyin və qeydi saxlayın

Artıq açıq olan sessiya ilə deyil, yeni bağlantı ilə sınaqdan keçirin. Canlı tunel təzə əl sıxışmasının yerinə yetirdiyi qəbul yoxlamalarını yenidən işə salmaya bilər və CRL keşləri müştərinin yenilənənə qədər qoşulmağa davam etməsi deməkdir. Bağlantını kəsin, yenidən qoşulun və server jurnalında hansı seriyanın qəbul edildiyini təsdiqləyin.

Hadisəni hələ təzə ikən qeyd edin: hansı seriya ləğv edildi, kim tərəfindən, hansı səbəblə, hansı əvəz verildi və CRL nə vaxt yenidən dərc edildi. Bu qeyd növbəti ləğv baxışını mümkün edir və həm də səhvin gizlədilmədən idarə olunduğunun sübutudur.

Gələcəkdə qısa dayandırmalar üçün, yerləşdirmədə varsa, qəbul dayandırma mexanizmindən istifadə edin — kimlik qatında deaktiv edilmiş hesab, çıxarılmış qrup üzvlüyü, saxlanılmış müştəri profili. Bu, müvəqqəti siyasət qərarını verilmiş sertifikatın hələ də etibarlı olub-olmaması sualından ayırır və ilk dəfə məhz itirilən fərq budur.