Sertifikaatide tühistamine ei õnnestu: milline host ei jõua kuhu

Sertifikaadid võivad olla kehtivusaja sees, samal ajal kui VPN veel teatab autentimistõrkest, ja keegi järeldab, et sertifikaat on tühistatud. Need on kolm erinevat fakti. Tühistamisandmed peab hankima seade, mis valideerimist teeb, sertifikaadi enda sees nimetatud avaldamispunktist. Kui see seade ei jõua punkti, ebaõnnestub kontroll põhjustel, mis ei ole sertifikaadi staatusega seotud.

Valideerija omab allalaadimise teed

Alustage valideerija tuvastamisest. Kui sülearvuti kontrollib lüüsi sertifikaati, teeb allalaadimise sülearvuti; kui lüüs kontrollib kliendi sertifikaati, teeb seda lüüs. Taustal töötav autentimisteenus võib lisada kolmanda valideerija oma võrguasendiga. Igal neist on erinev tee internetti ja erinev puhverserveri seadistus. Administraatori tööjaamas kogutud tõendid ei ütle midagi DMZ-i sees oleva serveri kohta.

Kirjutage üles sertifikaat, valideerija, katse aeg ja täpne olekukood, enne kui midagi muudate.

Lugege avaldamispunkt sertifikaadist

Sertifikaat nimetab, kus selle staatus asub. Lugege neid välju, selle asemel et CA-aadressi oletada.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Esimene laiend loetleb CRL-i jaotuspunktid ja teine loetleb asutusteabe juurdepääsumeetodid, mis võivad katta OCSP staatust ja väljaandja sertifikaadi hankimist. Need on erinevad mehhanismid ja OCSP-vastaja ei ole CRL-fail. Avaldamishost on sageli tavaline veebiserver, mitte CA masin, sest võrguühenduseta väljaandja saab allkirjastada CRL-i, mida teine server levitab. Seetõttu on tulemüüri reegel, mida kirjeldatakse CA-le juurdepääsuna, liiga ebamäärane, et seda rakendada või üle vaadata.

Testige allalaadimist valideerivast seadmest

Käivitage allalaadimistest keskkonnas, mis valideerimist tegelikult teeb, heakskiidetud sertifikaadimaterjaliga ja ilma privaatvõtmeteta.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil-i käivitamine kontrollib ahelat ja teatab, millised URL-i allalaadimised õnnestusid või ebaõnnestusid, samal ajal kui curl-i kutse testib üht avaldamisaadressi samast hostist ja tagastab ainult olekukoodi. Ebaõnnestunud allalaadimine kättesaadavalt aadressilt viitab sisu- või allkirjaprobleemidele; ühenduse viga viitab marsruutimisele, DNS-ile või puhverserverile. Hoidke mõlemad tulemused, sest üks õnnestunud allalaadimine ei tõesta, et kogu ahel on kasutatav. Muutke näidishosti ja -teed sertifikaadist leitud jaotuspunktiks.

Eraldage puuduvad andmed tühistatud staatusest

Neli tulemust näevad väljastpoolt sarnased: punkt on kättesaamatu, nimekiri on aegunud, nimekirja on allkirjastanud vale väljaandja või sertifikaat on tõesti tühistatud. Ainult viimane on staatuse tulemus ja ainult see õigustab juurdepääsu eemaldamist. Vahemällu salvestamine muudab pildi veel keerulisemaks, sest varem hangitud andmed võivad varjata katkist avaldamisteed kuni järgmise värskenduseni. Tühistamiskontrolli väljalülitamine, seotud sertifikaatide kustutamine või lüüsi taaskäivitamine asendavad diagnoosi tegevusega.

Pärast parandust sundige uus autentimine ja kinnitage, et kavandatud staatuse hankimine õnnestub. Kui on olemas kontrollitud testidentiteet, kinnitage, et see lükatakse endiselt tagasi, sest kättesaadavus, mis kontrolli eemaldab, ei ole parandus.