Kliendisertifikaat kadus? Tühista seerianumbri, mitte nime järgi

Teie kliendi sertifikaadifail on kadunud ja refleks on tühistada nimi ning väljastada uus. See refleks jätab algse sertifikaadi kehtima, sest tühistamine toimib seerianumbri, mitte sildi järgi. CA hoiab peaaegu kindlasti alles koopiat sellest, mille ta väljastas, ja selle koopia leidmine on kogu ülesanne.

Faili kaotamine ei ole CA kirje kaotamine

Easy-RSA PKI hoiab väljastatud avalikke sertifikaate ja praegused versioonid arhiveerivad ka seeriapõhiseid koopiaid PKI certs_by_serial kataloogis. Privaatvõtit pole tühistamiseks vaja. Tähtis on täpne sertifikaat, mille CA allkirjastas, ja see on CA-l juba olemas.

Töötage õige PKI varukoopial koos administraatoriga, kellele see kuulub. Tühistamine on auditeeritav toiming, mitte keskööl tootmisandmebaasis tehtav parandus.

Kliendi manustatud avaliku sertifikaadi koopia sobib samuti, kui juurutus hoidis ühte alles.

Lugege esmalt väljaandja ja seerianumber

Uurige taastatud PEM-i ja kirjutage üles väljaandja, seerianumber, subjekt ja kehtivusvahemik. Seerianumber on unikaalne ühe väljaandja ulatuses, mitte kõigi teie keskkonna CA-de lõikes, seega on väljaandja identiteedi osa. Kui mitu sertifikaati jagavad subjekti, eristavad neid just seerianumbrid.

Võrrelge väärtusi CA kirjetega ning seadmega või isikuga, kelle käes sertifikaat teie arvates on.

Üldnime saab uuesti kasutada ja tavaliselt nii tehaksegi. Ärge otsustage, milliseid sertifikaate tagasi võtta, enne kui seerianumbrid on kirja pandud.

Miks uue sertifikaadi tühistamine ei tee midagi

Sama üldnimega asendaja väljastamine loob teise, erineva seerianumbriga sertifikaadi. Asendaja tühistamine võtab uue tagasi ja jätab algse kehtima kuni selle aegumiseni. CA seisukohast on need kaks sõltumatut objekti ja CRL loetleb seerianumbreid, mitte nimesid. CA indeks hoiab iga väljastatud sertifikaadi kohta ühte rida just sel põhjusel.

Sama segadus tekitab vastupidise vea: kliendi faili kustutamine ja eeldamine, et CA unustas selle. Kliendi juures kustutamine ei ole tühistamissündmus ja sertifikaat töötab edasi kõigile, kellel on koopia.

Mõlemad vead tulenevad nime pidamisest identiteediks.

Tühistage sertifikaat, mille seerianumber nimetab

Tehke objekt kindlaks enne, kui CA-d puutute: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates trükib neli väärtust ühe käiguga ja seerianumber on see, mida CA arhiiviga võrdlete. Easy-RSA hoiab seda arhiivi pki/certs_by_serial all, üks fail iga seerianumbri kohta. Tühistamiskäsk võtab üldnime, mitte seerianumbri, seega kopeerige arhiveeritud fail asukohta pki/issued/<common-name>.crt ja laske nimel osutada tuvastatud objektile. Käivitage easyrsa revoke <common-name> PKI kataloogist ja kontrollige seejärel, kas vastav rida failis index.txt on muutunud täheks R. Seerianumber on viis objekti valimiseks, mitte argument, mille käsk vastu võtab.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Kui index.txt ei näita R, peatuge ja lugege viga enne CRL-i loomist, sest veel kehtivast kirjest ehitatud CRL ei võta midagi tagasi. Alles pärast rea muutumist käivitate easyrsa gen-crl ja liigute faili levitamise juurde.

Avaldage CRL seal, kus seda tegelikult rakendatakse

Looge uus CRL PKI toetatud töövoo kaudu ja avaldage see seejärel igas kontrollijas, mis rakendab selle väljaandja tühistusi.

CA-l lebav uuendatud fail ei muuda midagi, sest VPN lõpetab otsuse omaenda kontrollijas. Kontrollige CRL-i väljaandjat, kehtivusperioodi ja tühistatud seerianumbreid ning veenduge, et teenus laadib faili uuesti, mitte ei vahemälu eelmist. Omand ja tee loevad sama palju kui sisu: CRL, mida deemon lugeda ei saa, ei erine CRL-i puudumisest. OpenVPN-i valik crl-verify nimetab faili, mida deemon loeb, seega kontrollige seda teed ja faili omandit serveri konfiguratsioonis.

Kontrollige tõelise ühenduskatsega, mitte faili ajatempliga.

Teadke, millal CRL on vale tööriist

Kui väljaandja privaatvõtit enam ei usaldata, ei takista teadaolevate seerianumbrite tagasivõtmine volitamata valdajat uute sertifikaatide allkirjastamisel. See on väljaandja usalduse üleminek, st uus CA ja levitusplaan, mitte veel üks kirje CRL-is. Endise administraatori juurdepääs ei ole iseenesest tõend võtme väärkasutuse kohta, seega hankige faktid enne usalduse taastamist.

Väljastusandmebaasi käsitsi muutmine staatusetähe pööramiseks ei asenda allkirjastatud tühistust ja jätab CRL-i kirjetega vastuolus olevaks.

Hoidke seerianumber, CRL ja levitamisetapp ühes märkmes ning järgmine audit muutub lugemisülesandeks. Easy-RSA projekt dokumenteerib paigaldatud versiooni toetatud käsud ja see on ainus liides, mida tasub järgida.