VPN ziurtagirien inbentarioa: zer froga dezake CA erregistroak
Zerbitzariko karpeta batek, CA erregistro batek, baliozkotze-zerrenda batek eta saio-taulak galdera desberdinei erantzuten diete. Euts iezaiezu bereizita VPN identitateen inbentarioa egitean.
Zure pasabideak inoiz ikusi ez duen bezero ziurtagiri bat onartzen du, zeren konfiguratuta dagoena emaile fidagarri bat baita, eta ziurtagiria esku-ematean iristen da. Horrela izan behar du protokoloak, eta horregatik bertako direktorio-zerrenda inbentario eskasa da. Emaileak badaki zer sortu zuen, zerbitzariak badaki zer konektatu zen, eta baliozkotze-egoerak badaki zer kendu zen. Hiru erregistro horiek nahasten dituen inbentarioak, azkenean, inork esan ez zuen zerbait baieztatzen du.
Pasabideak emaile bat fidatzen du, ez fitxategi zerrenda bat
Baliozkotzeak aurkeztutako ziurtagiria konfiantza-aingura batekin alderatzen du, beraz atzo emaile berak sortutako identitate bat konektatzen da zerbitzariko diskoan inoiz egon gabe. Horretarako ez da ezer kopiatu behar, eta inork ez du eskuz onartu behar. Beraz, zerbitzariaren erregistroek iritsierak deskribatzen dituzte, irits zitezkeen identitateen populazioa ez.
Alderantzizko hutsunea bezain deserosoa da. Karpeta batek iraungitako ziurtagiriak, baliozkotutakoak eta inoiz zabaldu ez ziren gailuetarako igorritako identitateak eduki ditzake. Fitxategiak zenbatzeak zenbat fitxategi dauden erantzuten du, inork egin ez zuen galdera bat. Hasi, horren ordez, esanahia daramaten erregistroetatik.
Lau galdera, lau erregistro desberdin
Erregistro mota bakoitzak galdera bati ondo erantzuten dio eta besteei gaizki, horregatik elkartzen dituen txostenak osoa ematen du, modu zehatz batean okerra den arren. Beheko taulak erabakitzen duten galderaren arabera sailkatzen ditu, ez sortzen dituen sistemaren arabera.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Ziurtagiri publikoen artxiboa ez da sekretua, ez baitu gako pribaturik gordetzen, baina ez da partekagarria ere. Subjektuek eta gailuen izenek xehetasun operatiboak erakusten dituzte, eta txostenak behar duen publikoarekin geratu behar du. Gako pribatuak inbentariotik erabat kanpo geratzen dira, inbentarioak metadatuak behar baititu, ez kredentzialak.
Emailea gehi serie-zenbakia da gako egonkor bakarra
Subjektuak birziklatu egiten dira eta fitxategi-izenak berrerabili, beraz iaz gailu bat identifikatzen zuen izen batek orain beste bat identifika dezake. Bat ere ez da gakoa, eta horietako edozeinetan oinarritutako txostenak bi identitate lerro bakarrean batuko ditu azkenean.
Emailearen eta serie-zenbakiaren bikoteak ziurtagiri bat modu bakarrean identifikatzen du, eta bi eremuak ziurtagiritik bertatik datoz. Erregistratu itzazu subjektuarekin, baliozkotze-datak, kopurua etorri zen iturria eta arduradun den pertsona edo gailua. Gehitu baliozkotze- eta zabalkunde-egoera eremu bereizi gisa, beren behaketa-denborakin, zeren baliozkotze-leihoaren barruan dagoen ziurtagiria ez baita automatikoki baimenduta. Bi gertaera horiek sistema desberdinetan bizi dira, eta haiek batzeak identitate bat kendu zen kasua ezkutatzen du, haren fitxategia oraindik ere egungoa dirudien bitartean.
Irakurri ziurtagiri bat aldiko
Karpeta osoan hedatzen den komodin bat ez da sorta-interfaze bat, eta ezkutatzen du zein fitxategik eman zuen zein irteera. Irakurri metadatuak ziurtagiri bakoitzeko, eta irakurri baliozkotze-aldea haren artefaktutik bertatik. OpenSSL x509 erreferentziak aukera horiek inprimatzen dituzten eremuak zerrendatzen ditu.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Kudeatutako Easy-RSA PKI baterako, galdetu igorpen-datu-baseari tresnak onartzen duen lan-fluxuaren bidez, karpeta-diseinua suposatu beharrean, eta mantendu jatorrizkoak irakurtzeko soilik inbentarioa osatzen den bitartean. Erregistroaren formatua nahikoa erregularra da sarrera baliodunak zenbatzeko eta kendutakoak zerrendatzeko datu-basea eskuz ireki gabe.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Hurrengo igorpena gaindituko duen inbentarioa
Karpeta baten behin-behineko hustuketa zaharkituta geratzen da hurrengo ziurtagiria igortzen den unean, beraz eraiki txostena igorpen-lan-fluxutik eta utzi eguneratzen ohiko funtzionamenduaren zati gisa. Horrek txostena erreproduzigarri ere egiten du, eta hori garrantzitsua da bi pertsonak igorritakoaren inguruan ados ez daudenean.
Erabili emaitza berritze- eta erretiro-erabakietarako, ez kalkulu-orri ariketa gisa. Kopia lokal bat ezabatzeak ez ditu baliogabetzen dagoeneko existitzen diren urruneko kopiak. Kendu identitatea konfiguratutako baliozkotze- eta baimen-lan-fluxuaren bidez, eta gero erregistratu kentzea datarekin. Zerbitzaritik desagertu den baina emaileak oraindik fidatzen duen identitatea ez da erretiratu, eta alde horrek bereizten du inbentario zehatza bat, soilik lasaigarria den batetik.