Nebula blokeerimisnimekiri: levita seda, tuletorn ei tee seda

Blokeerimisnimekirja jõustamine on kontrolli tegeva hosti omadus, mitte kontrollitava sertifikaadi oma. Masin, mis ei ole kirjet kunagi laadinud, jätkab identiteedi aktsepteerimist, ja miski käepigistuses ei hoita sind, et kaks peer'i on eri meelt. Ühe paljastatud mandaadi odav parandus ja kallis parandus erinevad ulatuse ja pööratavuse poolest, seega vali teadlikult. Järgmised jaotised käsitlevad, mida kirje teeb, kuhu see tuleb toimetada, millal on roteerimine parem vastus ja kuidas tõestada, et kumbki neist töötas.

Mida blokeerimisnimekirja kirje tegelikult teeb

PKI konfiguratsioon loetleb sõrmejäljed, mille host peab tagasi lükkama, isegi kui sertifikaat on kehtivalt allkirjastatud ja aegumata. Jõustamine toimub lokaalselt, selle nimekirja vastu, mille host teenuse käivitamisel laadis. Kirjest ei reisi midagi sertifikaadi sees, seega ei saa peer otsust teada talle näidatud mandaadist. Seetõttu ei mängi tuletorn siin mingit rolli: tuletornid aitavad peer'idel üksteist leida ja edastada liiklust seal, kus otsene tee ebaõnnestub. Nad on avastamis- ja edastuskiht, mitte konfiguratsiooni levitamise kanal.

Ühe masina uuendamine muudab selle masina otsuseid ja jätab iga teise peer'i täpselt selliseks, nagu ta oli. Peer'il, kes usaldab allkirjastavat asutust ega ole kirjet kunagi näinud, pole põhjust midagi tagasi lükata. Seetõttu ei tõesta tühistamise testimine tuletorni vaadates midagi, sest komponenti, mida vaatad, ei ole kunagi palutud nimekirja jõustada.

Tuvasta sertifikaat, mitte seade

Kasuta selle mandaadi sõrmejälge, mille kavatsed tagasi lükata, sest hostinimi, seadme silt või praegune aadress tuvastavad masina täna ja midagi muud järgmisel kuul. Ükski neist stringidest ei esine blokeerimisnimekirjas ja ükski ei ela üle uuesti paigaldamist. Prindi sertifikaat, loe sõrmejälg ja kontrolli, et see kuulub kasutusest kõrvaldatavale mandaadile, mitte selle asendajale. Mõlema faili lugemine on oluline, kui asendaja on juba välja antud, sest vana ja uus sertifikaat võivad jagada nime ning erineda kõigis teistes väljades.

Pane kirja, milline sõrmejälg blokeeriti ja millal, et hilisem audit eristaks lõpetatud muudatust kavandatust. Pane tähele ka seda, mida kirje ei tee: see ei muuda allkirjastavat asutust kehtetuks ega takista selle asutuse tulevase sertifikaadi aktsepteerimist. Hostsertifikaadi blokeerimine ja kompromiteeritud asutuse asendamine on erinevad toimingud erinevate tagajärgedega.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Levita seda nagu iga teist konfiguratsiooni

Käsitle nimekirja konfiguratsioonina, millel on kohaletoimetamise mehhanism, mitte failina, mida keegi muudab, kui meenub. Lükka välja terve nimekiri, mitte delta, et varasema uuenduse vahele jätnud host läheneks, mitte ei koguks lünki. Nebula PKI dokumentatsioon soovitab täpselt seda, ja nõuannet tasub järgida sõna-sõnalt, mitte vormida see käsitsi protsessiks.

Kinnita, et töötav teenus laadis sisu uuesti, mitte ainult et fail kettal muutus. Jälgi, millised masinad muudatuse rakendasid, ja hoia pooleliolev nimekiri nähtav, kuni see tühjeneb. Nädalaks suletud sülearvuti on peer, kes ei õppinud otsust kunagi, ja see võib uuesti ühenduda võrgust, mida keegi ei oodanud. Pane kohaletoimetamise meetod sõrmejälje kõrvale, sest järgmine tühistamine kasutab seda uuesti ja just esimesel silutakse protsessi.

Blokeerimisnimekiri või asutuse roteerimine

Blokeerimisnimekirja kirje on kitsas: üks identiteet lakkab töötamast ja kõik muu jätkub. Allkirjastava asutuse roteerimine on lai: iga selle välja antud sertifikaat muutub ebausaldusväärseks ja iga host vajab uut mandaati ja uut usaldusankrut. Esimene on sihitud tühistamine ja teine on migratsioon, seega vajavad need erinevaid kinnitusi ja erinevaid hooldusaknaid. Tabel asetab need kaks kõrvuti ulatuse, vaeva ja pööratavuse järgi.

Kaotatud sülearvuti nõuab blokeerimisnimekirja, sest mõjuraadius on üks identiteet ja muudatus on pööratav, kui blokeerisid vale sõrmejälje. Lekkinud asutuse võti nõuab roteerimist, sest blokeerimisnimekiri ei aita sertifikaatidega, mida pole veel välja antud. Nende äärmuste vahel küsi, kas paljastatud mandaat oleks võinud allkirjastada midagi muud, sest asutus on rohkem kui üks host.

Kirjuta otsus enne juhtumit üles, sest surve all valimine kipub vaikimisi andma laia valiku. Millise tee ka valid, ülejäänud tööpunkt on sama: tõestada, et jõustamine toimus hostidel, mis loevad. Sõrmejälje ja kuupäeva üleskirjutamine sel hetkel on see, mis teeb tõestuse hiljem võimalikuks.

Kontrolli tagasilükkamist ja ülejäänut

Ühendu blokeeritud identiteedist ja kinnita tõrge, seejärel ühendu volitatud peer'ist ja kinnita, et see jõuab endiselt selleni, mida vajab. Muudatus, mis murrab kõik, ei ole edukas tühistamine. Tee mõlemat värsketest sessioonidest, sest vahemällu salvestatud olek võib tulemuse peita.

Kontrolli, kas loodud sessioon lõpeb pärast muudatust, ja pane käitumine oma versiooni ja konfiguratsiooni jaoks kirja, selle asemel et eeldada, et faili muutmine midagi lõpetab. Valik disconnect_invalid hõlmab kliente, kelle sertifikaadid on aegunud või kehtetud, seega kinnita, kuidas see sinu juhtumile kohaldub, enne kui sellele lootma jääd. Kui kohene lõpetamine on nõue, testi seda spetsiaalselt ja pane kirja, mida täheldasid. Seejärel korda testi pärast taaskäivitust, sest host, kes jõustab nimekirja ainult kuni järgmise taaskäivituseni, on kohaletoimetamise probleemiga, mille esimene test varjas. Terve tuletorn ütleb sulle, et avastamine töötab, mitte et mõni peer on poliitikat rakendanud.