Rhestr o dystysgrifau VPN: beth all cofrestr CA ei brofi
Mae ffolder ar y gweinydd, cofrestr CA, rhestr dirymu a thabl sesiynau yn ateb gwahanol gwestiynau. Cadwch hwy ar wahân wrth restru hunaniaethau VPN.
Mae eich porth yn derbyn tystysgrif cleient nad yw erioed wedi’i gweld, oherwydd yr hyn y cafodd ei ffurfweddu ag ef yw dyroddwr ymddiriedus, ac mae’r dystysgrif yn cyrraedd yn ystod yr ysgwyd llaw. Dyna sut y dylai’r protocol weithio, a dyna hefyd pam mae rhestru cyfeiriadur ar y gweinydd yn rhestr wael. Mae’r dyroddwr yn gwybod beth a greodd, mae’r gweinydd yn gwybod beth a gysylltodd, ac mae’r cyflwr dirymu yn gwybod beth a dynnwyd yn ôl. Mae rhestr sy’n cymysgu’r tri chofnod hynny yn y pen draw yn honni rhywbeth na ddywedodd yr un ohonynt.
Mae’r porth yn ymddiried mewn dyroddwr, nid mewn rhestr ffeiliau
Mae dilysu yn cymharu tystysgrif a gyflwynwyd ag angor ymddiriedaeth, felly mae hunaniaeth a grëwyd ddoe gan yr un dyroddwr yn cysylltu heb erioed fodoli ar ddisg y gweinydd. Nid oes angen copïo unrhyw beth i hynny ddigwydd, ac nid oes rhaid i unrhyw un ei gymeradwyo â llaw. Felly mae cofnodion y gweinydd ei hun yn disgrifio dyfodiadau, nid poblogaeth yr hunaniaethau a allai ddod.
Mae’r bwlch arall yr un mor annifyr. Gall cyfeiriadur ddal tystysgrifau sydd wedi dod i ben, rhai wedi’u dirymu, a hunaniaethau a ddyroddwyd ar gyfer dyfeisiau na chawsant eu defnyddio erioed. Mae cyfrif ffeiliau yn ateb faint o ffeiliau sydd yno, sy’n gwestiwn na ofynnodd neb. Dechreuwch o’r cofnodion sy’n dwyn ystyr yn lle hynny.
Pedwar cwestiwn, pedwar cofnod gwahanol
Mae pob math o gofnod yn ateb un cwestiwn yn dda a’r lleill yn wael, a dyna pam mae adroddiad sy’n eu cyfuno yn edrych yn gyflawn tra bo’n anghywir mewn ffordd benodol. Mae’r tabl isod yn eu rhoi yn ôl y cwestiwn y maent yn ei setlo yn hytrach na’r system sy’n eu cynhyrchu.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Nid yw archif o dystysgrifau cyhoeddus yn gyfrinach, gan nad yw’n dal allweddi preifat, ond nid yw chwaith yn rhannadwy. Mae pynciau ac enwau dyfeisiau yn datgelu manylion gweithredol, ac mae’r adroddiad i aros gyda’r gynulleidfa sydd ei angen. Mae allweddi preifat yn aros y tu allan i’r rhestr yn gyfangwbl, oherwydd mae angen metadata ar y rhestr, nid cymwysterau.
Dyroddwr a rhif cyfresol yw’r unig allwedd sefydlog
Mae pynciau’n cael eu hailgylchu ac mae enwau ffeiliau’n cael eu hailddefnyddio, felly gall enw a oedd yn nodi un ddyfais y llynedd nodi un arall nawr. Nid yw’r naill na’r llall yn allwedd, a bydd adroddiad a adeiladwyd ar y naill neu’r llall yn y pen draw yn uno dwy hunaniaeth mewn un llinell.
Mae’r pâr dyroddwr a rhif cyfresol yn nodi tystysgrif yn unigryw, ac mae’r ddau faes yn dod o’r dystysgrif ei hun. Cofnodwch hwy gyda’r pwnc, y dyddiadau dilysu, y ffynhonnell y daeth y copi ohoni, a’r person neu’r ddyfais sy’n gyfrifol. Ychwanegwch gyflwr dirymu a defnyddio fel meysydd ar wahân gyda’u hamseroedd arsylwi eu hunain, oherwydd nid yw tystysgrif o fewn ei ffenestr dilysrwydd yn awtomatig awdurdodedig. Mae’r ddau ffaith hynny’n byw mewn gwahanol systemau, ac mae eu cydlifo yn cuddio’r achos lle tynnwyd hunaniaeth yn ôl tra bo’i ffeil yn dal i edrych yn gyfredol.
Darllenwch un dystysgrif ar y tro
Nid yw cardyn gwyllt sy’n ehangu ar draws cyfeiriadur yn rhyngwyneb swp, ac mae’n cuddio pa ffeil a gynhyrchodd pa allbwn. Darllenwch y metadata fesul tystysgrif, a darllenwch yr ochr dirymu o’i arteffact ei hun. Mae cyfeirlyfr OpenSSL x509 yn rhestru’r meysydd y mae’r opsiynau hynny’n eu hargraffu.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Ar gyfer PKI Easy-RSA a reolir, gofynnwch i’r gronfa ddata ddyroddi drwy’r llif gwaith y mae’r offeryn yn ei gefnogi yn hytrach na chymryd cynllun cyfeiriadur yn ganiataol, a chadwch y gwreiddiol yn ddarllen-yn-unig tra bo’r rhestr yn cael ei chynnull. Mae ffurfwedd y gofrestr yn ddigon rheolaidd i gyfrif cofnodion dilys a rhestru’r rhai a dynnwyd yn ôl heb agor y gronfa ddata â llaw.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Rhestr sy’n goroesi’r dyroddiad nesaf
Mae dymp un-tro o gyfeiriadur yn ddi-ffres y foment y dyroddir y dystysgrif nesaf, felly adeiladwch yr adroddiad o’r llif gwaith dyroddi a gadewch iddo ddiweddaru fel rhan o weithrediad arferol. Mae hynny hefyd yn gwneud yr adroddiad yn atgynhyrchadwy, sy’n bwysig pan fo dau berson yn anghytuno ynghylch beth a ddyroddwyd.
Defnyddiwch y canlyniad ar gyfer penderfyniadau adnewyddu ac ymddeol yn hytrach nag fel ymarfer taenlen. Nid yw dileu copi lleol yn annilysu’r copïau o bell sydd eisoes yn bodoli. Tynnwch yr hunaniaeth yn ôl drwy’r llif gwaith dirymu ac awdurdodi a ffurfweddwyd, yna cofnodwch y tynnu’n ôl gyda’i ddyddiad. Nid yw hunaniaeth sydd wedi diflannu o’r gweinydd ond y mae’r dyroddwr yn dal i’w hymddiried wedi’i hymddeol, ac mae’r gwahaniaeth hwnnw’n gwahanu rhestr gywir oddi wrth un sy’n gysur yn unig.