Ĉu perdiĝis la klienta atestilo? Malfaru laŭ seria numero, ne laŭ nomo

La atestila dosiero de via kliento malaperis, kaj la reflekso estas malfari la nomon kaj eldoni novan. Tiu reflekso lasas la originalan atestilon valida, ĉar malfaro funkcias laŭ seria numero, ne laŭ etikedo. La CA preskaŭ certe ankoraŭ tenas kopion de tio, kion ĝi eldonis, kaj trovi tiun kopion estas la tuta tasko.

Perdi dosieron ne estas perdi la rikordon de la CA

Easy-RSA PKI konservas la publikajn atestilojn, kiujn ĝi eldonis, kaj nunaj versioj ankaŭ arkivas kopiojn laŭ serio en la dosierujo certs_by_serial de la PKI. La privata ŝlosilo ne necesas por malfari ion. Gravas la preciza atestilo, kiun la CA subskribis, kaj ĝin la CA jam havas.

Laboru sur rezerva kopio de la ĝusta PKI, kune kun la administranto, kiu posedas ĝin. Malfaro estas revidebla operacio, ne riparo farita sur produktada datumbazo noktomeze.

Kopio de la enkorpigita publika atestilo de la kliento ankaŭ taŭgas, se la enkonduko konservis unu.

Legi la eldoninton kaj la serion unue

Ekzamenu la rekuperitan PEM kaj notu la eldoninton, la serian numeron, la subjekton kaj la validecperiodon. La seria numero estas unika en la amplekso de unu eldoninto, ne trans ĉiuj CA en via medio, do la eldoninto estas parto de la identeco. Se pluraj atestiloj kunhavas subjekton, ĝuste tiuj numeroj ilin distingas.

Komparu la valorojn kun la rikordoj de la CA kaj kun la aparato aŭ persono, kiu laŭ vi posedas la atestilon.

Komuna nomo povas esti reuzata, kaj kutime ĝi estas. Ne decidu, kiujn atestilojn forigi, antaŭ ol la numeroj estas notitaj.

Kial malfaro de la nova atestilo faras nenion

Eldoni anstataŭaĵon kun la sama komuna nomo kreas duan atestilon kun malsama seria numero. Malfaro de la anstataŭaĵo forigas la novan kaj lasas la originalan valida ĝis ĝia fino. El la vidpunkto de la CA temas pri du sendependaj objektoj, kaj CRL listigas numerojn, ne nomojn. La indekso de la CA tenas unu linion po eldonita atestilo ĝuste pro tio.

La sama konfuzo produktas la inversan eraron: forigi la dosieron de la kliento kaj supozi, ke la CA forgesis ĝin. Forigo ĉe la kliento ne estas malfara evento, kaj la atestilo daŭre funkcias por ĉiu, kiu havas kopion.

Ambaŭ eraroj venas de tio, ke oni traktas la nomon kiel la identecon.

Malfaru la atestilon, kiun nomas la seria numero

Identigu la objekton antaŭ ol tuŝi la CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates presas la kvar valorojn en unu paŝo, kaj la seria numero estas tio, kion vi komparas kun la arkivo de la CA. Easy-RSA tenas tiun arkivon sub pki/certs_by_serial, kun unu dosiero por ĉiu seria numero. La malfara komando akceptas komunan nomon, ne serian numeron, do kopiu la arkivan dosieron al pki/issued/<common-name>.crt kaj lasu la nomon montri al la identigita objekto. Rulu easyrsa revoke <common-name> el la dosierujo de la PKI, poste kontrolu, ĉu la koncerna linio en index.txt ŝanĝiĝis al R. La seria numero estas kiel vi elektas la objekton, ne argumento, kiun la komando akceptas.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Se index.txt ne montras R, haltu kaj legu la eraron antaŭ ol krei CRL, ĉar CRL konstruita el rikordo, kiu ankoraŭ validas, forigas nenion. Nur post kiam la linio ŝanĝiĝas, vi rulas easyrsa gen-crl kaj pluiras al la disdonado de la dosiero.

Publikigu la CRL tie, kie ĝi efektive plenumiĝas

Generu novan CRL per la subtenata laborfluo de la PKI, poste publikigu ĝin al ĉiu kontrolanto, kiu plenumas la malfarojn de tiu eldoninto.

Ĝisdatigita dosiero kuŝanta sur la CA ŝanĝas nenion, ĉar la VPN finas la decidon ĉe sia propra kontrolanto. Kontrolu la eldoninton de la CRL, ĝian validecperiodon kaj la malfaritajn numerojn, kaj konfirmu, ke la servo reŝargas la dosieron anstataŭ kaŝmemorigi la antaŭan. Posedo kaj vojo gravas same kiel enhavo: CRL, kiun la demono ne povas legi, ne diferencas de neniu CRL. La opcio crl-verify de OpenVPN nomas la dosieron, kiun la demono legas, do kontrolu tiun vojon kaj la posedon de la dosiero en la servera agordo.

Kontrolu per reala konektoprovo, ne per la tempindiko de la dosiero.

Sciu, kiam CRL estas la malĝusta ilo

Se la privata ŝlosilo de la eldoninto ne plu estas fidinda, forigi konatajn numerojn ne povas malhelpi neaŭtorizitan posedanton subskribi novajn atestilojn. Tio estas transiro de fido al la eldoninto, do nova CA kaj disdona plano, ne plia ero en la CRL. Tio, ke iama administranto havis aliron, mem ne pruvas misuzon de la ŝlosilo, do akiru la faktojn antaŭ ol rekonstrui fidon.

Mane redakti la eldonan datumbazon por renversi statusan literon ne anstataŭas subskribitan malfaron, kaj ĝi lasas la CRL nekonsekvenca kun la rikordoj.

Tenu la serian numeron, la CRL kaj la disdonan paŝon en unu noto, kaj la sekva revizio fariĝas legado. La projekto Easy-RSA dokumentas la subtenatajn komandojn por la eldono, kiun vi instalis, kaj tio estas la sola interfaco inda je sekvado.