Bezeroaren ziurtagiria galdu duzu? Ezeztatu serie-zenbakiaren arabera, ez izenaren arabera

Zure bezeroaren ziurtagiri-fitxategia desagertu da, eta erreakzioa izena ezeztatu eta berri bat ematea da. Erreakzio horrek jatorrizko ziurtagiria baliodun uzten du, ezeztapena serie-zenbaki baten gainean aritzen baita, ez etiketa baten gainean. CAk ia ziur emititu zuenaren kopia bat oraindik gordetzen du, eta kopia hori aurkitzea da zeregin osoa.

Fitxategi bat galtzea ez da CAren erregistroa galtzea

Easy-RSA PKI batek emititutako ziurtagiri publikoak gordetzen ditu, eta bertsio berriek seriearen araberako kopiak ere artxibatzen dituzte PKIren certs_by_serial direktorioan. Gako pribatua ez da beharrezkoa ezer ezeztatzeko. Garrantzitsua CAk sinatu zuen ziurtagiri zehatza da, eta CAk badauka jada.

Lan egin PKI egokiaren segurtasun-kopia batean, hura duen administratzailearekin. Ezeztapena auditagarria den eragiketa da, ez gauerdian produkzio-datu-basean egindako konponketa.

Bezeroaren barneko ziurtagiri publikoaren kopia batek ere balio du, hedapenak bat gorde badu.

Irakurri igorlea eta seriea lehenengo

Aztertu berreskuratutako PEM fitxategia eta idatzi igorlea, serie-zenbakia, subjektua eta baliozkotasun-tartea. Serie-zenbakia igorle bakar baten eremuan da bakarra, ez zure inguruneko CA guztien artean, beraz igorlea identitatearen parte da. Zenbait ziurtagirik subjektu bera partekatzen badute, serie horiek bereizten dituzte.

Konparatu balioak CAren erregistroekin eta ziurtagiria duela uste duzun gailu edo pertsonarekin.

Izen arrunta berrerabil daiteke, eta normalean bai. Ez erabaki zein ziurtagiri kendu serieak idatzi arte.

Zergatik ez duen ezer egiten ziurtagiri berria ezeztatzeak

Izen arrunt berarekin ordezkoa emateak serie desberdineko bigarren ziurtagiri bat sortzen du. Ordezkoa ezeztatzeak berria kentzen du eta jatorrizkoa baliodun uzten du iraungi arte. CAren ikuspegitik bi objektu independente dira, eta CRL batek serieak zerrendatzen ditu, ez izenak. CAren indizeak ziurtagiri emititu bakoitzeko errenkada bat gordetzen du, hain zuzen ere horregatik.

Konfusio berak alderantzizko akatsa sortzen du: bezeroaren fitxategia ezabatzea eta CAk ahaztu duela suposatzea. Bezeroan ezabatzea ez da ezeztapen-gertaera, eta ziurtagiriak lanean jarraitzen du kopia bat duen edonorentzat.

Bi akatsak izena identitate gisa tratatzetik datoz.

Ezeztatu serieak izendatzen duen ziurtagiria

Identifikatu objektua CA ukitu aurretik: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates lau balioak pasaldi bakarrean inprimatzen ditu, eta seriea da CAren artxiboarekin parekatzen duzuna. Easy-RSAk artxiboa pki/certs_by_serial azpian gordetzen du, serie bakoitzeko fitxategi batekin. Ezeztatzeko aginduak izen arrunta hartzen du, ez seriea, beraz kopiatu artxibatutako fitxategia pki/issued/<common-name>.crt helbidera eta utzi izenari identifikatu duzun objektua seinalatzen. Exekutatu easyrsa revoke <common-name> PKI direktorioan, gero egiaztatu index.txt fitxategiko errenkada egokia R bihurtu dela. Seriea objektua aukeratzeko modua da, ez aginduak onartzen duen argumentua.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

index.txt fitxategiak R erakusten ez badu, gelditu eta irakurri errorea CRL bat sortu aurretik, oraindik baliodun den erregistro batekin eraikitako CRL batek ezer ez baitu kentzen. Errenkada aldatutakoan soilik exekutatzen duzu easyrsa gen-crl eta fitxategia banatzera pasatzen zara.

Argitaratu CRLa benetan aplikatzen den tokian

Sortu CRL berri bat PKIren onartutako lan-fluxuaren bidez, eta gero argitaratu igorle honen ezeztapenak aplikatzen dituen egiaztatzaile bakoitzean.

CAn dagoen fitxategi eguneratu batek ez du ezer aldatzen, VPNak bere egiaztatzailean amaitzen baitu erabakia. Egiaztatu CRLaren igorlea, baliozkotasun-epea eta ezeztatutako serieak, eta berretsi zerbitzuak fitxategia birkargatzen duela, aurrekoa cachean gorde beharrean. Jabetzak eta bideak edukiak adina balio dute: daemonak irakurri ezin duen CRL bat ez da CRL ezer ez egotearen bereizgarri. OpenVPNren crl-verify aukerak daemonak irakurtzen duen fitxategia izendatzen du, beraz egiaztatu bide hori eta fitxategiaren jabetza zerbitzariaren konfigurazioan.

Egiaztatu konexio-saiakera erreal batekin, ez fitxategiaren denbora-markarekin.

Jakin CRL tresna okerra denean

Igorlearen gako pribatua jada fidagarria ez bada, ezagutzen diren serieak kentzeak ezin die ezezagun bati ziurtagiri berriak sinatzea eragotzi. Hori igorlearen konfiantzaren trantsizioa da, hau da, CA berria eta banaketa-plana, ez CRLan beste sarrera bat. Administratzaile ohi batek sarbidea izana ez da berez gakoa gaizki erabili izanaren froga, beraz lortu datuak konfiantza berreraiki aurretik.

Emititze-datu-basea eskuz editatzea egoera-hizki bat iraultzeko ez da sinatutako ezeztapen baten ordezkoa, eta CRLa erregistroekin koherente ez den egoeran uzten du.

Eduki seriea, CRLa eta banaketa-pausoa ohar bakarrean, eta hurrengo auditoria irakurketa-ariketa bihurtuko da. Easy-RSA proiektuak instalatutako bertsiorako onartutako aginduak dokumentatzen ditu, eta hori da jarraitzea merezi duen interfaze bakarra.