Bertan behera utzitako VPN ziurtagiria oraindik konektatzen da? Egiaztatu CRL-ren betearazpena
Bertan behera utzitako ziurtagiriak oraindik konektatzen dira CRL egiaztatzailearengana inoiz iristen ez denean. Egiaztatu ordena honetan jaulkitzailea, kargatutako serie-zenbakia, berriz kargatzeko portaera eta saio aktiboak.
Ziurtagiria bertan behera utzi duzu, zerrenda berria sortu, eta profil zaharrak oraindik tunel bat altxatzen du. Bertan behera uzteak berak ez du hutsik egiten: CRL serie-zenbaki bat jada baliozkoa ez dela dioen sinatutako adierazpena da, eta sarbidea TLS amaitzen duen osagaiak jaulkitzaile zuzenarentzat kargatzen duenean soilik aldatzen da, onarpen-erabakia hartu aurretik. Han daude kasu horietako gehienak, eta horregatik bertan behera uztea eta ukapena bi gertaera desberdin dira.
Joan beheko bost egiaztapenak ordenan eta gelditu betetzen ez den lehenengoan, ondorengo egiaztapen bakoitzak aurrekoak zuzenak direla suposatzen baitu.
Egiaztatu zein osagaik hartzen duen onarpen-erabakia
Izenda ezazu bezeroaren ziurtagiria baliozkotzen duen prozesua, zerrenda bat betearaz dezakeen bakarra delako. OpenVPN zerbitzarian daemon bera da, crl-verify-rekin konfiguratua. ocserv-en ocserv.conf barruko crl lerroa da. strongSwan-en sarrerak kargatutako CRL-ak dira strictcrlpolicy-rekin batera. VPNaren aurrean TLS amaitzen duen proxy edo gailua ere benetako egiaztatzailea izan daiteke, eta hala bada, atzean dagoen daemonak ez du inoiz bezeroaren ziurtagiria ikusten.
WireGuard beste kategoria batekoa da. Ez du ziurtagiririk ezta oporraldi-zerrendarik; peer bat konfigurazioan duen gako publikoaren bidez onartzen da, beraz sarbidea amaitzeak gako hori kentzea esan nahi du. WireGuard soilik erabiltzen duen inplementazio batean CRL bila ari bazara, mekanismo hori ez dago han.
Kontuz bezeroaren aldeko tranparekin ere. Zerbitzariaren ziurtagiria gustuko ez duelako konektatzeari uko egiten dion bezeroak zerbitzariaren katea betearazten ari da, ez du bere kredentziala bertan behera uzten. Erabiltzailearen ziurtagiria ziurtagiri hori egiaztatzen den tokian soilik uzten da bertan behera, eta hori ia beti zerbitzariaren aldea da.
Egiaztatu zerrenda zein jaulkitzailetzat sinatu zen
CRL jaulkitzaile CA bakar batera mugatuta dago. Erroa eta bitartekoa badituzu, hosto-ziurtagiriak bitartekotik datoz, beraz garrantzitsua den zerrenda bitartekoaren CRL da; erroaren zerrendak ez du ezer esaten hosto horiei buruz. Fitxategi okerrean seinalatzen duen egiaztatzaileak pozik aztertzen du, ez du bat datorren sarrerarik aurkitzen eta dena onartzen du.
Berretsi parekatzea daemona ukitu aurretik. Ziurtagiriaren jaulkitzaileak zerrendaren subject-arekin bat egin behar du:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateBiak CA beretik datozenean, ziurtagirirako inprimatutako serie-zenbakia zerrendan agertu behar den balioa da. Bat ez badatoz, CRL okerra edo haren kopia okerra duzu.
Baliozkotasuna egiaztapen beraren parte da. Iraganeko nextUpdate-ek zerrenda zaharkituta uzten du, eta huts egiten duen egiaztatzaile batek bezero guztiak ukatuko ditu bertan behera utzitakoa bakarrik beharrean.
Egiaztatu serie-zenbakia daemonak kargatutako kopian dagoela
Bertan behera uzteak erregistro bat idazten du CAren datu-basean, eta berriz sortzeak fitxategi berri bat idazten du. Bi ekintzotako batek ere ez dio heltzen abiaraztean kopia zaharra kargatu zuen martxan dagoen daemonari. Bota zerrenda eta bilatu serie-zenbakia:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlGero egiaztatu zure inplementazioak nola hartzen duen fitxategia. OpenVPN-k crl-verify-ri emandako bidea behin irakurtzen du abiaraztean, beraz zerrenda berri batek berrabiaraztea edo berrabiarazte-seinalea behar du; direktorio batera zuzendutako aukera berbera konexio bakoitzean berrirakurtzen da, eta horregatik dago direktorio modua. strongSwanek bere kredentzialak berriz kargatu behar ditu, adibidez swanctl --load-creds erabiliz. Diskoan fitxategia zuzena izatea eta egiaztatzaileak hura erabiltzea bi gertaera desberdin dira.
Egiaztatu falta den edo iraungitako zerrendaren politika
Hau inplementazio askok inoiz argi hartzen ez duten erabakia da, eta bertan behera uzteak zu babesten zintuen ala denak kanpoan giltzatzen dituen erabakitzen du. Fail-closed-ek esan nahi du erabilgarria den oporraldi-informaziorik gabe ukapena gertatzen dela; fail-open-ek esan nahi du egiaztatzaileak hura gabe jarraitzen duela. strongSwanek aukera strictcrlpolicy gisa erakusten du. OpenVPN-k crl-verify-ekin uko egiten dio irakurri edo aztertu ezin duen fitxategi batekin abiarazteari, eta iraungitako zerrenda isilpeko onarpenaren ordez iraungitako CRL-i buruzko TLS egiaztapen-errore gisa agertzen da.
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
Edozein norabide aukeratuta ere, automatizazioak aukerak baino gehiago balio du: nextUpdate baino lehen CRL berriz sortzen duen zereginak, eta inplementatutako kopia zahartzen denean abisuak, bi politikak gertaera bihurtzea eragozten dute. OCSP-rekin lineako egiaztapenak freskotasuna erantzulearengana eramaten du, baina arau bera aplikatzen da, erantzuna egiaztatzeko konfiguratuta ez dagoen egiaztatzaileak ez baitu ezer aldatzen.
Egiaztatu saio aktiboa, gero gakoaren kopiak
Bertan behera uztea ziurtagiriaren baliozkotzean ebaluatzen da, konektatzean eta berriz negoziatzean gertatzen dena. Ezarririko saio bat berriz negoziatu arte jarraitzen du, eta OpenVPN-ren lehenetsia orduan behin da reneg-sec 3600-rekin. Pertsonak orain sarean egon behar ez badu, amaitu saioa zerrenda argitaratzeaz gain, eta gero berretsi berriz konektatzeari uko egiten zaiola.
Bereizi kredentziala haren kopietatik. Ordenagailu eramangarri batean profila ezabatzeak ez dio eragozten gako pribatu beraren beste kopia bat autentifikatzeari; bertan behera uzteak egiten du kopia bakoitza erabilgaitz, eta aurreko egiaztapenak betetzen direnean soilik. Eman ordezko gailuari bere ziurtagiria, bata bestea ukitu gabe bertan behera utzi ahal izateko.
Amaitutzat jo aurretik: egiaztatzen duen osagaia identifikatuta dago, zerrendaren jaulkitzailea hostoaren jaulkitzailearekin bat dator, bertan behera utzitako serie-zenbakia daemonak benetan kargatutako kopian dago, falta diren edo iraungitako zerrenden politika nahita hartua eta gainbegiratuta dago, eta saio aktiboa amaitu da itxaron beharrean. Hori guztiaren atzeko formatuak RFC 5280 delakoan zehazten dira.