Inventaro de VPN-atestiloj: kion povas pruvi la CA-registro
Dosierujo sur la servilo, CA-registro, nuliga listo kaj sesia tabelo respondas malsamajn demandojn. Tenu ilin aparte kiam vi inventaras VPN-identecojn.
Via enirejo akceptas klientan atestilon, kiun ĝi neniam vidis, ĉar tio, per kio ĝi estis agordita, estas fidinda eldonanto, kaj la atestilo alvenas dum la manpremo. Tiel la protokolo devas funkcii, kaj ĝuste tial dosiera listo sur la servilo estas malbona inventaro. La eldonanto scias, kion ĝi kreis, la servilo scias, kio konektiĝis, kaj la nuliga stato scias, kio estis retirita. Inventaro, kiu miksas tiujn tri rikordojn, fine asertas ion, kion neniu el ili diris.
La enirejo fidas eldonanton, ne dosierliston
Validigo komparas prezentitan atestilon kun fida ankro, do identeco kreita hieraŭ de la sama eldonanto konektiĝas sen iam ekzisti sur la disko de la servilo. Nenio bezonas esti kopiita por ke tio okazu, kaj neniu devas aprobi ĝin permane. La propraj rikordoj de la servilo do priskribas alvenojn, ne la loĝantaron de identecoj, kiuj povus alveni.
La kontraŭa breĉo estas same ĝena. Dosierujo povas enhavi eksvalidiĝintajn atestilojn, nuligitajn, kaj identecojn eldonitajn por aparatoj, kiuj neniam estis deplojitaj. Nombri dosierojn respondas kiom da dosieroj estas, kio estas demando, kiun neniu demandis. Komencu anstataŭe per la rikordoj, kiuj portas signifon.
Kvar demandoj, kvar malsamaj rikordoj
Ĉiu rikorda tipo bone respondas unu demandon kaj malbone la aliajn, tial raporto, kiu kunigas ilin, aspektas kompleta dum ĝi malĝustas laŭ specifa maniero. La suba tabelo ordigas ilin laŭ la demando, kiun ili solvas, ne laŭ la sistemo, kiu produktas ilin.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Arkivo de publikaj atestiloj ne estas sekreto, ĉar ĝi enhavas neniujn privatajn ŝlosilojn, sed ĝi ankaŭ ne estas kunhavigebla. Subjektoj kaj aparataj nomoj malkaŝas operaciajn detalojn, kaj la raporto devus resti ĉe la publiko, kiu bezonas ĝin. Privataj ŝlosiloj restas tute ekster la inventaro, ĉar la inventaro bezonas metadatenojn, ne akreditaĵojn.
Eldonanto kaj seria numero estas la sola stabila ŝlosilo
Subjektoj estas recikligataj kaj dosiernomoj reuzataj, do nomo, kiu pasintjare identigis unu aparaton, povas nun identigi alian. Neniu el ili estas ŝlosilo, kaj raporto konstruita sur iu ajn el ili fine kunfandos du identecojn en unu linion.
La paro eldonanto kaj seria numero unike identigas atestilon, kaj ambaŭ kampoj venas el la atestilo mem. Registru ilin kun la subjekto, la validigaj datoj, la fonto el kiu la kopio venis, kaj la respondeca persono aŭ aparato. Aldonu nuligan kaj deplojan statojn kiel apartajn kampojn kun propraj observaj tempoj, ĉar atestilo ene de sia valideca fenestro ne estas aŭtomate rajtigita. Tiuj du faktoj vivas en malsamaj sistemoj, kaj ilia kunfando kaŝas la kazon, kie identeco estis retirita dum ĝia dosiero ankoraŭ aspektas aktuala.
Legu unu atestilon samtempe
Ĵokero, kiu etendiĝas tra dosierujo, ne estas paka interfaco, kaj ĝi kaŝas, kiu dosiero produktis kiun eligon. Legu la metadatenojn por ĉiu atestilo, kaj legu la nuligan flankon el ĝia propra artefakto. La OpenSSL x509 referenco listigas la kampojn, kiujn tiuj opcioj presas.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Por administrita Easy-RSA PKI, demandu la eldonan datumbazon per la laborfluo, kiun la ilo subtenas, anstataŭ supozi dosierujan aranĝon, kaj tenu la originalojn nurlegeblaj dum la inventaro estas kunmetata. La registra formato estas sufiĉe regula por nombri validajn enskribojn kaj listigi la retiritajn sen malfermi la datumbazon permane.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Inventaro kiu postvivas la sekvan eldonon
Unufoja elŝuto de dosierujo malaktualiĝas en la momento, kiam la sekva atestilo estas eldonita, do konstruu la raporton el la eldona laborfluo kaj lasu ĝin ĝisdatiĝi kiel parton de normala funkciado. Tio ankaŭ igas la raporton reproduktebla, kio gravas, kiam du homoj malkonsentas pri tio, kio estis eldonita.
Uzu la rezulton por renovigaj kaj emeritigaj decidoj, ne kiel kalkultabelan ekzercon. Forigi lokan kopion ne nuligas la malproksimajn kopiojn, kiuj jam ekzistas. Retiru la identecon per la agordita nuliga kaj rajtiga laborfluo, poste registru la retiron kun ĝia dato. Identeco, kiu malaperis de la servilo sed ankoraŭ estas fidata de la eldonanto, ne estis emeritigita, kaj ĝuste tiu diferenco apartigas precizan inventaron de tiu, kiu nur trankviligas.