Ziurtagirien ezeztatzeak huts egiten du: zein ostalarik zer ez du lortzen

Ziurtagiriak beren baliozkotasun-epearen barruan egon daitezke VPNak oraindik autentifikazio-hutsegitea jakinarazten duen bitartean, eta norbaitek ziurtagiria ezeztatuta dagoela ondorioztatzen du. Hiru gertaera desberdin dira. Ezeztatze-datuak baliozkotzea egiten duen gailuak berak eskuratu behar ditu, ziurtagiriaren barruan bertan aipatzen den argitalpen-puntu batetik. Gailu horrek puntura iritsi ezin duenean, egiaztapenak huts egiten du ziurtagiriaren egoerarekin zerikusirik ez duten arrazoiengatik.

Baliozkotzailea da deskarga-bidearen jabea

Hasi baliozkotzailea identifikatzen. Ordenagailu eramangarriak atearen ziurtagiria egiaztatzen duenean, ordenagailuak egiten du deskarga; ateak bezero-ziurtagiri bat egiaztatzen duenean, ateak egiten du. Atzeko planoan dabilen autentifikazio-zerbitzu batek hirugarren baliozkotzaile bat gehi dezake, bere sare-kokapenarekin. Bakoitzak bide desberdina du internetera eta proxy konfigurazio desberdina. Administratzailearen lan-estazioan bildutako frogak ez du ezer esaten DMZ baten barruko zerbitzari bati buruz.

Idatzi ziurtagiria, baliozkotzailea, saiakeraren ordua eta egoera-kode zehatza, ezer aldatu aurretik.

Irakurri argitalpen-puntua ziurtagirian

Ziurtagiriak adierazten du non bizi den bere egoera. Irakurri eremu horiek CA helbide bat asmatu beharrean.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Lehen luzapenak CRL banaketa-puntuak zerrendatzen ditu, eta bigarrenak autoritate-informaziorako sarbide-metodoak, OCSP egoera eta jaulkitzailearen ziurtagiria eskuratzea biltzen dituztenak. Mekanismo desberdinak dira, eta OCSP erantzulea ez da CRL fitxategi bat. Argitalpen-ostalaria web zerbitzari arrunta izaten da sarritan, eta ez CA makinak, zeren lineaz kanpoko jaulkitzaile batek beste zerbitzari batek banatzen duen CRL bat sinatu baitezake. Beraz, CArako sarbide gisa deskribatutako suebaki-arau bat lausotuegia da ezartzeko edo berrikusteko.

Probatu deskarga baliozkotzen duen gailutik

Exekutatu deskarga-proba benetan baliozkotzea egiten duen ingurunean, onartutako ziurtagiri-materialarekin eta gako pribaturik gabe.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil exekutatzen denean katea egiaztatzen da eta zein URL deskargak lortu edo huts egin duen jakinarazten du, eta curl deiak argitalpen-helbide bat probatzen du ostalari beretik eta egoera-kode bat baino ez du itzultzen. Helbide eskuragarri batetik huts egiten duen deskargak edukia edo sinadura arazoak adierazten ditu; konexio-errore batek bideratzea, DNS edo proxya adierazten ditu. Gorde bi emaitzak, zeren deskarga arrakastatsu batek ez baitu frogatzen kate osoa erabilgarria denik. Aldatu adibideko ostalaria eta bidea ziurtagirian aurkitutako banaketa-puntuarekin.

Bereizi falta diren datuak ezeztatze-egoeratik

Lau emaitza berdinak dirudite kanpotik: puntua ez da irisgarria, zerrenda zaharkituta dago, zerrenda jaulkitzaile okerrak sinatu du edo ziurtagiria benetan ezeztatuta dago. Azkena soilik da egoera-emaitza, eta hark baino ez du justifikatzen sarbidea kentzea. Cacheak are gehiago zailtzen du egoera, lehenago eskuratutako datuek hautsitako argitalpen-bide bat ezkuta dezaketelako hurrengo freskatze arte. Ezeztatze-egiaztapena desgaitzeak, erlaziorik gabeko ziurtagiriak ezabatzeak edo atea berrabiarazteak diagnostikoa jarduerarekin ordezkatzen dute.

Konpondu ondoren, behartu autentifikazio berri bat eta egiaztatu aurreikusitako egoera-deskargak arrakasta izan duela. Egiaztatutako proba-identitate bat dagoen tokietan, egiaztatu oraindik ukatzen dela, zeren egiaztapena kentzen duen eskuragarritasunak ez baitu konponketa izaten.