Inventář VPN certifikátů: co může prokázat kniha CA
Složka na serveru, kniha CA, seznam odvolání a tabulka relací odpovídají na různé otázky. Při inventarizaci identit VPN je držte oddělené.
Vaše brána přijímá klientský certifikát, který nikdy neviděla, protože to, čím je nakonfigurována, je důvěryhodný vydavatel a certifikát přichází během handshake. Tak má protokol fungovat, a právě proto je výpis adresáře na serveru špatným inventářem. Vydavatel ví, co vytvořil, server ví, co se připojilo, a stav odvolání ví, co bylo staženo. Inventář, který tyto tři záznamy smíchá, nakonec tvrdí něco, co žádný z nich neřekl.
Brána důvěřuje vydavateli, ne výpisu souborů
Validace porovnává předložený certifikát s důvěryhodnou kotvou, takže identita vytvořená včera stejným vydavatelem se připojí, aniž kdy existovala na disku serveru. Aby se to stalo, nemusí se nic kopírovat a nikdo to nemusí ručně schvalovat. Vlastní záznamy serveru proto popisují příchody, ne populaci identit, které by mohly přijít.
Opačná mezera je stejně nepříjemná. Adresář může obsahovat propadlé certifikáty, odvolané certifikáty a identity vydané pro zařízení, která nebyla nikdy nasazena. Počítání souborů odpovídá na to, kolik souborů existuje, což je otázka, kterou nikdo nepoložil. Začněte místo toho u záznamů, které nesou význam.
Čtyři otázky, čtyři různé záznamy
Každý typ záznamu dobře odpovídá na jednu otázku a špatně na ostatní, proto zpráva, která je slučuje, vypadá úplně, i když je specifickým způsobem chybná. Tabulka níže je řadí podle otázky, kterou řeší, ne podle systému, který je vytváří.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Archiv veřejných certifikátů není tajemství, protože neobsahuje soukromé klíče, ale není ani ke sdílení. Subjekty a názvy zařízení prozrazují provozní podrobnosti a zpráva by měla zůstat u publika, které ji potřebuje. Soukromé klíče zůstávají zcela mimo inventář, protože inventář potřebuje metadata, ne pověření.
Vydavatel a sériové číslo jsou jediný stabilní klíč
Subjekty se recyklují a názvy souborů se znovu používají, takže název, který loni označoval jedno zařízení, může dnes označovat jiné. Ani jedno není klíč a zpráva postavená na kterémkoli z nich nakonec slije dvě identity do jednoho řádku.
Dvojice vydavatel a sériové číslo identifikuje certifikát jedinečně a obě pole pocházejí ze samotného certifikátu. Zapište je spolu se subjektem, daty platnosti, zdrojem, odkud kopie přišla, a odpovědnou osobou nebo zařízením. Přidejte stav odvolání a nasazení jako samostatná pole s vlastními časy pozorování, protože certifikát v rámci doby platnosti není automaticky oprávněný. Tato dvě fakta žijí v různých systémech a jejich sloučení skrývá případ, kdy byla identita stažena, zatímco její soubor stále vypadá aktuálně.
Čtěte jeden certifikát po druhém
Zástupný znak, který se roztahuje přes adresář, není dávkové rozhraní a skrývá, který soubor vytvořil který výstup. Čtěte metadata po jednotlivých certifikátech a stranu odvolání čtěte z jejího vlastního artefaktu. Referenční příručka OpenSSL x509 uvádí pole, která tyto volby vypisují.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40U spravované PKI Easy-RSA se ptejte na databázi vydání přes pracovní postup, který nástroj podporuje, místo abyste předpokládali rozložení adresářů, a originály držte jen pro čtení, dokud se inventář sestavuje. Formát knihy je dost pravidelný na to, aby se platné záznamy spočítaly a stažené vypsaly bez ručního otevírání databáze.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Inventář, který přežije příští vydání
Jednorázový výpis adresáře zastará v okamžiku, kdy je vydán další certifikát, proto sestavte zprávu z vydavatelského pracovního postupu a nechte ji aktualizovat jako součást běžného provozu. To také dělá zprávu reprodukovatelnou, což je důležité, když se dva lidé neshodnou na tom, co bylo vydáno.
Výsledek používejte pro rozhodnutí o obnově a vyřazení, ne jako cvičení s tabulkou. Smazání místní kopie nezruší vzdálené kopie, které už existují. Stáhněte identitu přes nakonfigurovaný pracovní postup odvolání a autorizace a potom stažení zaznamenejte s jeho datem. Identita, která zmizela ze serveru, ale vydavatel jí stále důvěřuje, nebyla vyřazena, a právě tento rozdíl odděluje přesný inventář od inventáře, který jen uklidňuje.