VPN sertifikat inventarı: CA reyestrinin sübut edə biləcəyi
Server qovluğu, CA reyestri, ləğv siyahısı və sessiya cədvəli müxtəlif suallara cavab verir. VPN kimliklərini inventarlaşdırarkən onları ayrı saxlayın.
Şlüzünüz heç vaxt görmədiyi klient sertifikatını qəbul edir, çünki konfiqurasiya edildiyi şey etibarlı bir vericidir və sertifikat əl sıxma zamanı gəlir. Protokol belə işləməlidir və buna görə də serverdəki qovluq siyahısı zəif inventar olur. Verici nə yaratdığını bilir, server nə bağlandığını bilir, ləğv vəziyyəti isə nəyin geri alındığını bilir. Bu üç qeydi birləşdirən inventar heç birinin demədiyi bir şeyi iddia edir.
Şlüz fayl siyahısına deyil, vericiyə güvənir
Yoxlama təqdim olunan sertifikatı etibarlılıq çıxarı ilə müqayisə edir, buna görə dünən həmin verici tərəfindən yaradılan kimlik serverin diskində heç vaxt olmadan qoşulur. Bunun üçün heç nə kopyalanmalı deyil və heç kim əl ilə təsdiq etməməlidir. Deməli, serverin öz qeydləri gələ biləcək kimliklərin əhalisini deyil, gəlişləri təsvir edir.
Əks boşluq da eyni dərəcədə narahat edicidir. Qovluqda vaxtı keçmiş sertifikatlar, ləğv edilmişlər və heç vaxt yerləşdirilməmiş cihazlar üçün verilmiş kimliklər ola bilər. Faylları saymaq neçə fayl olduğuna cavab verir, bu isə heç kimin vermədiyi sualdır. Əvəzində məna daşıyan qeydlərdən başlayın.
Dörd sual, dörd fərqli qeyd
Hər qeyd növü bir suala yaxşı, digərlərinə pis cavab verir, buna görə də onları birləşdirən hesabat tam görünür, halbuki konkret şəkildə səhvdir. Aşağıdakı cədvəl onları istehsal edən sistemə görə deyil, həll etdikləri suala görə sıralayır.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Açıq sertifikatlar arxivi sirr deyil, çünki özəl açarları saxlamır, amma paylaşıla bilən də deyil. Subyektlər və cihaz adları əməliyyat detallarını açır və hesabat ona ehtiyacı olan auditoriya ilə qalmalıdır. Özəl açarlar inventardan tamamilə kənarda qalır, çünki inventara etimadnamə deyil, metadatalar lazımdır.
Verici və seriya nömrəsi yeganə sabit açardır
Subyektlər təkrar istifadə olunur, fayl adları yenidən işlədilir, buna görə keçən il bir cihazı müəyyən edən ad indi başqa birini göstərə bilər. Heç biri açar deyil və hansısa birinə əsaslanan hesabat sonda iki kimliyi bir sətirdə birləşdirəcək.
Verici və seriya cütü sertifikatı unikal şəkildə müəyyən edir və hər iki sahə sertifikatın özündən çıxır. Onları subyektlə, etibarlılıq tarixləri ilə, nüsxənin gəldiyi mənbə ilə və məsul şəxs və ya cihazla birlikdə qeyd edin. Ləğv və yerləşdirmə vəziyyətini öz müşahidə vaxtları olan ayrı sahələr kimi əlavə edin, çünki etibarlılıq pəncərəsi içindəki sertifikat avtomatik olaraq səlahiyyətli deyil. Bu iki fakt fərqli sistemlərdə yaşayır və onları birləşdirmək faylı hələ aktual görünən bir kimliyin geri alındığı halı gizlədir.
Sertifikatları bir-bir oxuyun
Qovluq boyu genişlənən vəhşi kart toplu interfeys deyil və hansı faylın hansı çıxışı verdiyini gizlədir. Metadatanı hər sertifikat üzrə oxuyun və ləğv tərəfini öz artefaktından oxuyun. OpenSSL x509 istinadı bu seçimlərin çap etdiyi sahələri sadalayır.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40İdarə olunan Easy-RSA PKI üçün verilmə verilənlər bazasını alətin dəstəklədiyi iş axını ilə sorğulayın, qovluq sxemini fərz etmək əvəzinə, və inventar yığılarkən orijinalları yalnız oxunaqlı saxlayın. Reyestr formatı etibarlı qeydləri saymaq və geri alınanları verilənlər bazasını əl ilə açmadan sadalamaq üçün kifayət qədər nizamlıdır.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Növbəti verilişdən sonra da qüvvədə qalan inventar
Qovluğun birdəfəlik boşaldılması növbəti sertifikat verilən anda köhnəlir, buna görə hesabatı verilmə iş axınından qurun və normal əməliyyatın bir hissəsi kimi yenilənməsinə icazə verin. Bu həm də hesabatı təkrar istehsal edilə bilən edir, bu da iki nəfər nəyin verildiyi barədə razılaşmadıqda vacibdir.
Nəticəni cədvəl məşqi kimi deyil, yeniləmə və istifadədən çıxarma qərarları üçün istifadə edin. Lokal nüsxənin silinməsi artıq mövcud olan uzaq nüsxələri etibarsız etmir. Kimliyi konfiqurasiya edilmiş ləğv və səlahiyyətləndirmə iş axını ilə geri götürün, sonra geri götürməni tarixi ilə qeyd edin. Serverdən yox olmuş, amma verici tərəfindən hələ də etibarlı sayılan kimlik istifadədən çıxarılmamışdır və bu fərq dəqiq inventarı yalnız arxayınlaşdıran inventardan ayırır.