Wedi colli tystysgrif y cleient? Diddymwch drwy’r rhif cyfresol, nid drwy’r enw

Mae ffeil dystysgrif eich cleient wedi diflannu, a’r reddf yw diddymu’r enw a chyhoeddi un newydd. Mae’r reddf honno’n gadael y dystysgrif wreiddiol yn ddilys, oherwydd bod diddymu’n gweithio ar rif cyfresol yn hytrach nag ar label. Mae’r CA bron yn sicr yn dal copi o’r hyn a gyhoeddodd, a dod o hyd i’r copi hwnnw yw’r dasg gyfan.

Nid yw colli ffeil yn golli cofnod y CA

Mae PKI Easy-RSA yn cadw’r tystysgrifau cyhoeddus a gyhoeddodd, ac mae fersiynau cyfredol hefyd yn archifo copïau yn ôl rhif cyfresol o dan gyfeiriad certs_by_serial y PKI. Nid oes angen yr allwedd breifat i ddiddymu unrhyw beth. Y peth pwysig yw’r union dystysgrif a lofnodwyd gan y CA, sydd eisoes gan y CA.

Gweithiwch ar gopi wrth gefn o’r PKI cywir, gyda’r gweinyddwr sy’n berchen arno. Mae diddymu’n weithred archwiladwy yn hytrach na thrwsio a wneir ar gronfa ddata gynhyrchu hanner nos.

Mae copi o dystysgrif gyhoeddus fewnol y cleient yn gweithio hefyd, os cadwodd y gosodiad un.

Darllenwch y dyroddwr a’r rhif cyfresol cyn unrhyw beth arall

Archwiliwch y PEM a adferwyd ac ysgrifennwch y dyroddwr, y rhif cyfresol, y pwnc a’r cyfnod dilysrwydd. Mae’r rhif cyfresol yn unigryw o fewn cwmpas un dyroddwr, nid ar draws pob CA yn eich amgylchedd, felly mae’r dyroddwr yn rhan o’r hunaniaeth. Os yw sawl tystysgrif yn rhannu pwnc, y rhifau cyfresol hynny sy’n eu gwahaniaethu.

Cymharwch y gwerthoedd â chofnodion y CA ac â’r ddyfais neu’r person yr ydych yn credu sy’n dal y dystysgrif.

Gellir ailddefnyddio enw cyffredin, ac fel arfer gwneir hynny. Peidiwch â phenderfynu pa dystysgrifau i’w tynnu’n ôl nes bod y rhifau cyfresol wedi’u hysgrifennu.

Pam nad yw diddymu’r dystysgrif newydd yn gwneud dim

Mae cyhoeddi amnewidiad gyda’r un enw cyffredin yn creu ail dystysgrif â rhif cyfresol gwahanol. Mae diddymu’r amnewidiad yn tynnu’r un newydd yn ôl ac yn gadael yr un wreiddiol yn ddilys hyd iddi ddod i ben. O safbwynt y CA mae’r rhain yn ddau wrthrych annibynnol, ac mae CRL yn rhestru rhifau cyfresol yn hytrach nag enwau. Mae mynegai’r CA yn cadw un rhes ar gyfer pob tystysgrif a gyhoeddwyd am yr union reswm hwnnw.

Mae’r un dryswch yn cynhyrchu’r camgymeriad gwrthwyneb: dileu ffeil y cleient a chymryd bod y CA wedi anghofio amdani. Nid yw dileu ar y cleient yn ddigwyddiad diddymu, ac mae’r dystysgrif yn parhau i weithio i unrhyw un sydd â chopi.

Mae’r ddau gamgymeriad yn deillio o drin yr enw fel yr hunaniaeth.

Diddymwch y dystysgrif y mae’r rhif cyfresol yn ei henwi

Nodwch y gwrthrych cyn i chi gyffwrdd â’r CA: mae openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates yn argraffu’r pedwar gwerth mewn un pas, a’r rhif cyfresol yw’r hyn rydych yn ei gyfateb ag archif y CA. Mae Easy-RSA yn cadw’r archif honno o dan pki/certs_by_serial, gydag un ffeil wedi’i henwi ar ôl pob rhif cyfresol. Mae’r gorchymyn diddymu’n cymryd enw cyffredin yn hytrach na rhif cyfresol, felly copïwch y ffeil archifedig i pki/issued/<common-name>.crt a gadewch i’r enw bwyntio at y gwrthrych a nodwyd gennych. Rhedegwch easyrsa revoke <common-name> o gyfeiriad y PKI, yna gwiriwch fod y rhes gyfatebol yn index.txt wedi newid i R. Y rhif cyfresol yw sut rydych yn dewis y gwrthrych, nid dadl y mae’r gorchymyn yn ei derbyn.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Os nad yw index.txt yn dangos R, stopiwch a darllenwch y gwall cyn cynhyrchu CRL, oherwydd nid yw CRL a adeiladwyd o gofnod sy’n dal yn ddilys yn tynnu unrhyw beth yn ôl. Dim ond ar ôl i’r rhes newid y byddwch yn rhedeg easyrsa gen-crl ac yn symud ymlaen i ddosbarthu’r ffeil.

Cyhoeddwch y CRL lle mae’n cael ei orfodi mewn gwirionedd

Cynhyrchwch CRL newydd drwy lif gwaith cefnogol y PKI, yna cyhoeddwch ef i bob gwirydd sy’n gorfodi diddymiadau’r dyroddwr hwn.

Nid yw ffeil wedi’i diweddaru sy’n eistedd ar y CA yn newid dim, oherwydd mae’r VPN yn gorffen y penderfyniad yn ei wirydd ei hun. Gwiriwch ddyroddwr y CRL, ei gyfnod dilysrwydd a’r rhifau cyfresol a ddiddymwyd, a chadarnhewch fod y gwasanaeth yn ail-lwytho’r ffeil yn hytrach na chache’r un flaenorol. Mae perchenogaeth a llwybr yr un mor bwysig â chynnwys: nid yw CRL na all y daemon ei ddarllen yn wahanoladwy o ddim CRL o gwbl. Mae opsiwn crl-verify OpenVPN yn enwi’r ffeil y mae’r daemon yn ei darllen, felly gwiriwch y llwybr hwnnw a pherchenogaeth y ffeil yng nghyfluniad y gweinydd.

Gwiriwch ag ymgais gysylltu go iawn, nid â stamp amser y ffeil.

Gwybyddwch pryd yw CRL yr offeryn anghywir

Os nad oes ymddiriedaeth bellach yn allwedd breifat y dyroddwr, ni all tynnu rhifau cyfresol hysbys yn ôl rwystro deiliad anawdurdodedig rhag llofnodi tystysgrifau newydd. Mae hynny’n drosglwyddiad ymddiriedaeth dyroddwr, sef CA newydd a chynllun dosbarthu, nid cofnod arall yn y CRL. Nid yw’r ffaith bod cyn-weinyddwr wedi cael mynediad ynddo’i hun yn dystiolaeth bod yr allwedd wedi’i chamddefnyddio, felly cewch y ffeithiau cyn ailadeiladu ymddiriedaeth.

Nid yw golygu’r gronfa ddata gyhoeddi â llaw i droi llythyren statws yn disodli diddymiad wedi’i lofnodi, ac mae’n gadael y CRL yn anghyson â’r cofnodion.

Cadwch y rhif cyfresol, y CRL a’r cam dosbarthu mewn un nodyn, a daw’r archwiliad nesaf yn ymarfer darllen. Mae prosiect Easy-RSA yn dogfennu’r gorchmynion a gefnogir ar gyfer y fersiwn sydd gennych wedi’i osod, a dyma’r unig ryngwyneb sy’n werth ei ddilyn.