Izgubljen klijentski certifikat? Opozovite po serijskom broju, ne po imenu

Datoteka certifikata vašeg klijenta je nestala, a refleks je opozvati ime i izdati novo. Taj refleks ostavlja originalni certifikat važećim, jer opoziv radi na serijskom broju, a ne na oznaci. CA gotovo sigurno još drži kopiju onoga što je izdao, a pronalaženje te kopije je cijeli zadatak.

Gubitak datoteke nije gubitak CA zapisa

Easy-RSA PKI čuva javne certifikate koje je izdao, a aktualna izdanja arhiviraju i kopije po seriji u direktoriju certs_by_serial unutar PKI-ja. Privatni ključ nije potreban za opoziv. Bitno je točno onaj certifikat koji je CA potpisao, a CA ga već ima.

Radite na sigurnosnoj kopiji ispravnog PKI-ja, s administratorom koji ga posjeduje. Opoziv je revizijski provjerljiva operacija, a ne popravak produkcijske baze u ponoć.

Kopija klijentovog ugrađenog javnog certifikata također je dovoljna, ako je implementacija sačuvala jednu.

Prvo pročitajte izdavatelja i seriju

Pregledajte obnovljeni PEM i zapišite izdavatelja, serijski broj, subjekt i razdoblje valjanosti. Serijski broj jedinstven je unutar dosega jednog izdavatelja, ne među svim CA u vašem okruženju, pa je izdavatelj dio identiteta. Ako više certifikata dijeli subjekt, upravo ih serije razlikuju.

Usporedite vrijednosti s CA zapisima i s uređajem ili osobom za koju mislite da drži certifikat.

Uobičajeno ime može se ponovno upotrijebiti i obično se i koristi. Ne odlučujte koje ćete certifikate povući dok serije nisu zapisane.

Zašto opoziv novog certifikata ne čini ništa

Izdavanje zamjene s istim uobičajenim imenom stvara drugi certifikat s različitim serijskim brojem. Opoziv zamjene povlači novi i ostavlja original važećim do isteka. S CA-ove točke gledišta to su dva neovisna objekta, a CRL navodi serije, a ne imena. CA indeks drži jedan redak po izdanom certifikatu upravo zato.

Ista zbrka stvara obrnutu pogrešku: brisanje klijentove datoteke i pretpostavku da ju je CA zaboravio. Brisanje na klijentu nije događaj opoziva i certifikat nastavlja raditi za svakoga ko ima kopiju.

Obje pogreške dolaze iz tretiranja imena kao identiteta.

Opozovite certifikat koji serija imenuje

Identificirajte objekt prije nego dotaknete CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ispisuje četiri vrijednosti u jednom prolazu, a serija je ono što uspoređujete s CA arhivom. Easy-RSA drži tu arhivu pod pki/certs_by_serial, s jednom datotekom po seriji. Naredba za opoziv prima uobičajeno ime, a ne seriju, zato kopirajte arhiviranu datoteku u pki/issued/<common-name>.crt i neka ime pokazuje na objekt koji ste identificirali. Pokrenite easyrsa revoke <common-name> iz PKI direktorija, zatim provjerite je li odgovarajući redak u index.txt prešao na R. Serija je način na koji birate objekt, a ne argument koji naredba prihvaća.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ako index.txt ne pokazuje R, zaustavite se i pročitajte pogrešku prije generiranja CRL-a, jer CRL izgrađen iz zapisa koji je još važeći ne povlači ništa. Tek nakon što se redak promijeni pokrećete easyrsa gen-crl i prelazite na distribuciju datoteke.

Objavite CRL tamo gdje se stvarno primjenjuje

Generirajte novi CRL kroz podržani tijek rada PKI-ja, zatim ga objavite na svakom verifikatoru koji primjenjuje opozive ovog izdavatelja.

Ažurirana datoteka koja stoji na CA ne mijenja ništa, jer VPN završava odluku na vlastitom verifikatoru. Provjerite izdavatelja CRL-a, razdoblje valjanosti i opozvane serije te potvrdite da servis ponovno učitava datoteku umjesto da kešira prethodnu. Vlasništvo i putanja važni su kao i sadržaj: CRL koji daemon ne može pročitati ne razlikuje se od nikakvog CRL-a. OpenVPN opcija crl-verify imenuje datoteku koju daemon čita, zato provjerite tu putanju i vlasništvo datoteke u konfiguraciji poslužitelja.

Provjerite stvarnim pokušajem veze, a ne vremenom datoteke.

Znajte kada je CRL pogrešan alat

Ako se privatnom ključu izdavatelja više ne vjeruje, povlačenje poznatih serija ne može spriječiti neovlaštenog vlasnika da potpisuje nove certifikate. To je prijelaz povjerenja u izdavatelja, što znači novi CA i plan distribucije, a ne još jedan unos u CRL-u. Pristup bivšeg administratora sam po sebi nije dokaz da je ključ zloupotrijebljen, zato prikupite činjenice prije ponovne izgradnje povjerenja.

Ručno uređivanje baze izdavanja da bi se preokrenulo slovo statusa nije zamjena za potpisani opoziv i ostavlja CRL neusklađen sa zapisima.

Držite seriju, CRL i korak distribucije u jednoj bilješci i sljedeća revizija postaje čitanje. Easy-RSA projekt dokumentira podržane naredbe za izdanje koje imate instalirano, a to je jedino sučelje koje vrijedi slijediti.