VPN ziurtagiri okerra ezeztatu duzu? Berreskuratzeko aukerak eta mugak

Norbaitek ziurtagiri bat ezeztatu du CAren kontsoletan, eta orain erabiltzaile batek ezin du konektatu. Lehen bulkada desegitea bilatzea da, eta PKI gehienetan ez dago: ezeztapena serie-zenbaki bati buruzko adierazitako egitatea da, eta onartutako itzulera-bidea ziurtagiri berri bat da, ez alderantzizko erregistroa. Jarraitu beheko egiaztapenak hurrenez hurren, zeren zein konponketa erabiltzea baimentzen zaizun arrazoi-kodearen eta gakoa inoiz agerian geratu zen ala ez dagoen araberakoa baita.

Ziurtagiria identifikatu, ez pertsona

Izen arruntek errepikatzen dute. Aurreko hiruhilekoan berriro erregistratu zen erabiltzaile batek CN bera eta serie-zenbaki ezberdinak dituzten bi ziurtagiri izan ditzake, eta bat ezeztatzeak bestea martxan uzten du. Lehenik objektu zehatza ezarri:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Idatzi serie-zenbakia, jaulkitzailea, ezeztatze-data eta CRLn erregistratutako arrazoia. Ondoren egiaztatu zein gailuk aurkezten duten serie-zenbaki hori, ezeztatutako ziurtagiri bat oraindik ere ordenagailu eramangarri batean, telefono batean eta ordezko router batean instalatuta egon baitaiteke, eta horietako batera soilik iristen den ordezkapen batek bigarren gertaera eragiten du.

Portaera-egiaztapen azkar batek egoera baieztatzen du ezer aldatu gabe:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Ziurtagiria ezeztatuta dagoela adierazten badu, CRL eta bezeroa bat datoz; garbi egiaztatzen bada, zure esku duzun bezeroa ez da ezeztatua, eta bilaketak jarraitzen du.

Egiaztatu CAk etetea edo ezeztatze iraunkorra erabili duen

RFC 5280 arauak certificateHold egoera iragankor gisa eta removeFromCRL hura askatzen duen seinale gisa definitzen ditu. Bizi-ziklo hori erreala da, baina ez da desegiteko botoi orokorra. Arrazoi-kodea irakurtzeak esaten dizu jaulkitzaileak inoiz askapena onartu nahi izan zuen.

Tranpa da pentsatzea asmo iragankorrak erregistro iragankorra esan nahi duenik. CAren erregistroak keyCompromise edo cessationOfOperation badarama, ziurtagiria betiko ezeztatuta dago, botoia sakatu zuen pertsonak zer nahi zuen edozein dela ere. Alderantziz, etete-askapena inplementatzen ez duen CA batean certificateHold markatutako erregistroa praktikan iraunkorra da, inork ez baitu inoiz askapena argitaratuko.

OpenSSLn oinarritutako CAk muga erakusten dute. ca aginduak -crl_reason balioak onartzen ditu, besteak beste certificateHold eta removeFromCRL, baina ez ditu delta CRLak sortzen — OpenSSL CA dokumentazioak muga hori aipatzen du bere CRL irteerarako. Serie-zenbakia besterik gabe uzten duen CRL osoa "erregistro hau askatu da" dioen deltaren argitalpen-eredu ezberdina da, beraz removeFromCRL OpenSSLn oinarritutako VPN CA batean itsasteak ez du estandarrekin definitutako askapena sortzen.

Gakoa agerian geratu badaiteke, ordezkatu

Ezeztatutako ziurtagiri bat gako hau jada fidagarria ez dela adierazten duen baieztapena da. Ezeztapena funtsean zuzena bazen — ordenagailu eramangarria galdu, gakoa partekatutako disko batera kopiatu, gako pribatua txartel batean itsatsi —, ziurtagiri bera berreskuratzeak bere horretan ondo funtzionatzen zuen segurtasun-erabaki bat alderantzikatzen du.

Jaulkitzeko prozesuaren bidez gako-pare berri bat jaulki, profil berria banatu, eta utzi serie-zenbaki zaharra bere bizitza osoan ezeztatuta. Eguneratu serie-zenbakiaren edo hatz-markaren bidez identitatea finkatzen duen guztia, sarbide-zerrendak, gailuen inbentarioak eta ziurtagiri zehatz bat espero duen monitorizazioa barne.

Zaharra berreskuratzeko erosotasun-argudioa erreala da, baina espresuki erantzun behar zaio, isilean ez. "Erabiltzaileak gaur sarbidea behar du" jaulkipena azkartzeko arrazoia da, ez duzun gako baten ezeztapena kentzeko arrazoia.

Akats administratiboa izan bazen, ordezkatu kontrolpean

Ezeztapena besterik gabe okerra izan zenean eta gakoa inoiz agerian geratu ez zenean, konponketa ordezkapen kontrolatua da, ez edizioa. Erabili jaulkitzailearen prozesu onartua, mantendu serie-zenbakia eta jaulkipen-historia osorik, eta saihestu bi lasterbide tentagarriak: index.txt fitxategiko egoera-karakterea R-tik V-ra itzultzea, eta jaulkipen-errenkada ezabatzea ziurtagiri berri batek serie-zenbakia berrerabili ahal izateko.

OpenSSL CA batean datu-basea tabuladorez bereizita dago eta erraz irakurtzen da gaizki, eta horrek eskuzko edizioa erakargarri egiten du:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Irakurri, ez idatzi. Fitxategia editatzeak hurrengo CRLa aldatzen du auditoretza-arrastorik gabe, eta jatorrizko errenkada oraindik duen edozein bigarren CA instantziak edo babeskopiak desadostasuna izango du harekin geroago.

Ordezkapena jaulki ondoren, argitaratu CRL berri bat mekanismo arruntaren bidez eta utzi bezeroei hura jasotzen. CRL bat kentzeak, haren bizitza hutsa izatera laburtzeak edo bezero-profilan ezeztatze-egiaztapena desgaitzeak erabiltzaile bat konpontzen du CAk inoiz argitaratu duen beste ezeztatze guztia ahulduz.

Berretsi sarrera berri bat eta gorde erregistroa

Probatu konexio berri batekin, ez dagoeneko zabalik zegoen saioarekin. Tunel bizia ez da agian eskuz-aske berri batek egiten dituen sarrera-egiaztapenak berriro exekutatuko, eta CRLen cacheek bezeroak freskatu arte konektatzen jarraitu dezakeela esan nahi dute. Deskonektatu, berriro konektatu, eta egiaztatu zerbitzariaren erregistroan zein serie-zenbaki onartu zen.

Erregistratu gertatu zena oraindik freskoa den bitartean: zein serie-zenbaki ezeztatu zen, nork, zein arrazolekin, zein ordezkapen jaulki zen eta noiz berrargitaratu zen CRLa. Erregistro horrek egiten du posible hurrengo ezeztatze-berrikuspena, eta akatsa ezkutatu ez zela, kudeatu egin zela frogatzen du.

Etorkizunean etete laburretarako, erabili sarrera-etete mekanismo bat hedapenak badu — identitate-geruzan desgaitutako kontua, kendutako talde-kidea, atxikitako bezero-profila. Horrek aldi baterako politika-erabakia bereizten du jaulkitako ziurtagiria oraindik fidagarria den ala ez galderatik, eta lehen aldiz galdu zen desberdintasun zehatza da hori.