Nebula crna lista: distribuirajte je, svjetionik to neće

Primjena crne liste svojstvo je hosta koji vrši provjeru, a ne certifikata koji se provjerava. Mašina koja nikada nije učitala zapis nastavlja prihvatati identitet, i ništa u rukovanju vas ne upozorava da se dva peera ne slažu. Jeftino rješenje i skupo rješenje za jedno izloženo uvjerenje razlikuju se po dosegu i po reverzibilnosti, zato birajte namjerno. Odjeljci ispod pokrivaju šta zapis radi, gdje ga treba dostaviti, kada je rotacija bolji odgovor i kako dokazati da je bilo koje od njih proradilo.

Šta zapis na crnoj listi zapravo radi

PKI konfiguracija navodi otiske prstiju koje host mora odbiti iako je certifikat valjano potpisan i nije istekao. Primjena se odvija lokalno, prema listi koju je taj host učitao pri pokretanju servisa. Ništa o zapisu ne putuje unutar certifikata, pa peer ne može naučiti odluku iz uvjerenja koje mu se pokazuje. Zato svjetionik ovdje nema nikakvu ulogu: svjetionici pomažu peerovima da pronađu jedni druge i prenose saobraćaj tamo gdje direktna putanja zakaže. Oni su sloj otkrivanja i prenosa, a ne kanal za distribuciju konfiguracije.

Ažuriranje jedne mašine mijenja odluke te mašine i ostavlja svaki drugi peer tačno onakvim kakav je bio. Peer koji vjeruje potpisnom autoritetu i nikada nije vidio zapis nema razloga da bilo šta odbije. Stoga testiranje opoziva gledanjem u svjetionik ništa ne dokazuje, jer komponenta koju gledate nikada nije bila zamoljena da primijeni listu.

Identificirajte certifikat, a ne uređaj

Koristite otisak prsta uvjerenja koje namjeravate odbiti, jer ime hosta, oznaka uređaja ili trenutna adresa identificiraju mašinu danas i nešto drugo sljedećeg mjeseca. Nijedan od tih nizova se ne pojavljuje na crnoj listi i nijedan ne preživi ponovnu instalaciju. Odštampajte certifikat, pročitajte otisak prsta i provjerite da pripada uvjerenju koje se povlači, a ne njegovoj zamjeni. Čitanje oba fajla je važno kada je zamjena već izdata, jer stari i novi certifikat mogu dijeliti ime i razlikovati se u svakom drugom polju.

Zabilježite koji je otisak prsta blokiran i kada, kako bi kasnija revizija razlikovala završenu promjenu od namjeravane. Zabilježite i šta zapis ne radi: on ne poništava potpisni autoritet i ne sprječava prihvatanje budućeg certifikata tog autoriteta. Blokiranje certifikata hosta i zamjena kompromitovanog autoriteta različite su operacije s različitim posljedicama.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Distribuirajte je kao i svaku drugu konfiguraciju

Tretirajte listu kao konfiguraciju s mehanizmom dostave, a ne kao fajl koji neko mijenja kada se sjeti. Gurajte cijelu listu umjesto delte, kako bi host koji je propustio ranije ažuriranje konvergirao umjesto da gomila praznine. Nebula PKI dokumentacija preporučuje upravo to, i savjet vrijedi slijediti doslovno umjesto prepričavati ga u ručni proces.

Potvrdite da je pokrenuti servis ponovo učitao sadržaj, a ne samo da se fajl na disku promijenio. Pratite koje su mašine primijenile promjenu i držite listu nedovršenih vidljivom dok se ne isprazni. Laptop zatvoren sedmicu je peer koji nikada nije naučio odluku i može se ponovo povezati s mreže koju niko nije očekivao. Zabilježite metod dostave pored otiska prsta, jer ga sljedeći opoziv ponovo koristi i upravo se na prvom proces otklanja grešaka.

Crna lista ili rotacija autoriteta

Zapis na crnoj listi je uzak: jedan identitet prestaje raditi i sve ostalo se nastavlja. Rotacija potpisnog autoriteta je široka: svaki certifikat koji je izdao postaje nepouzdan i svakom hostu treba novo uvjerenje i novo sidro povjerenja. Prvo je ciljani opoziv, a drugo je migracija, zato traže različita odobrenja i različite prozore za održavanje. Tabela stavlja njih dvoje jedan uz drugi po dosegu, trudu i reverzibilnosti.

Izgubljeni laptop traži crnu listu, jer je radijus uticaja jedan identitet i promjena je reverzibilna ako ste blokirali pogrešan otisak prsta. Procurio ključ autoriteta traži rotaciju, jer crna lista ne može pomoći s certifikatima koji još nisu izdati. Između tih krajnosti, pitajte je li izloženo uvjerenje moglo potpisati nešto drugo, jer autoritet je više od jednog hosta.

Zapišite odluku prije incidenta, jer odabir pod pritiskom obično po difoltu proizvodi široku opciju. Koji god put odabrali, preostala radna stavka je ista: dokazati da se primjena dogodila na hostovima koji su važni. Bilježenje otiska prsta i datuma u tom trenutku je ono što kasnije čini dokaz mogućim.

Provjerite odbijanje i ostatak

Povežite se s blokiranog identiteta i potvrdite neuspjeh, zatim se povežite s ovlaštenog peera i potvrdite da još uvijek doseže šta mu treba. Promjena koja sve pokvari nije uspješan opoziv. Uradite oboje iz svježih sesija, jer keširano stanje može sakriti rezultat.

Provjerite završava li uspostavljena sesija nakon promjene i zabilježite ponašanje za svoju verziju i konfiguraciju umjesto da pretpostavljate da uređivanje fajla bilo šta prekida. Opcija disconnect_invalid pokriva klijente čiji su certifikati istekli ili nevažeći, zato potvrdite kako se primjenjuje na vaš slučaj prije nego se na nju oslonite. Ako je trenutni prekid zahtjev, testirajte to posebno i zabilježite šta ste primijetili. Zatim ponovite test nakon restarta, jer host koji primjenjuje listu samo do sljedećeg podizanja ima problem s dostavom koji je prvi test sakrio. Zdrav svjetionik vam kaže da otkrivanje radi, a ne da je bilo koji peer primijenio politiku.