Kadotitko asiakasvarmenteen? Peruuta sarjanumerolla, älä nimellä

Asiakkaasi varmennetiedosto on kadonnut, ja vaisto sanoo peruuta nimi ja myönnä uusi. Tämä vaisto jättää alkuperäisen varmenteen voimaan, koska peruutus perustuu sarjanumeroon eikä tunnisteeseen. CA säilyttää lähes varmasti kopion myöntämästään, ja tuon kopion löytäminen on koko tehtävä.

Tiedoston kadottaminen ei ole CA:n tietueen kadottamista

Easy-RSA PKI säilyttää myöntämänsä julkiset varmenteet, ja nykyiset versiot arkistoivat kopiot sarjan mukaan PKI:n certs_by_serial-hakemistoon. Yksityistä avainta ei tarvita peruuttamiseen. Ratkaisevaa on täsmälleen se varmenne, jonka CA allekirjoitti, ja se CA:lla jo on.

Työskentele oikean PKI:n varmuuskopiolla yhdessä sen omistavan ylläpitäjän kanssa. Peruutus on auditoitava toimenpide, ei tuotantotietokannassa keskiyöllä tehtävä korjaus.

Kopio asiakkaan upotetusta julkisesta varmenteesta kelpaa myös, jos käyttöönotto säilytti sellaisen.

Lue myöntäjä ja sarja ensin

Tarkastele palautettu PEM ja kirjaa myöntäjä, sarjanumero, subjekti ja voimassaoloaika. Sarjanumero on yksilöllinen yhden myöntäjän piirissä, ei kaikkien ympäristösi CA:iden kesken, joten myöntäjä on osa identiteettiä. Jos useat varmenteet jakavat subjektin, juuri sarjanumerot erottavat ne.

Vertaa arvoja CA:n tietueisiin sekä laitteeseen tai henkilöön, jonka uskot pitävän varmennetta.

Yleistä nimeä voi käyttää uudelleen, ja niin yleensä tehdään. Älä päätä, mitkä varmenteet peruutetaan, ennen kuin sarjanumerot on kirjattu.

Miksi uuden varmenteen peruuttaminen ei tee mitään

Korvaavan myöntäminen samalla yleisellä nimellä luo toisen varmenteen, jolla on eri sarjanumero. Korvaavan peruuttaminen vetää uuden pois ja jättää alkuperäisen voimaan sen vanhenemiseen asti. CA:n näkökulmasta nämä ovat kaksi erillistä objektia, ja CRL luettelee sarjanumeroita eikä nimiä. CA:n hakemisto pitää yhden rivin jokaista myönnettyä varmennetta kohden juuri siksi.

Sama sekaannus tuottaa päinvastaisen virheen: asiakkaan tiedoston poistaminen ja olettaminen, että CA unohti sen. Poistaminen asiakkaalla ei ole peruutustapahtuma, ja varmenne toimii edelleen kaikille, joilla on kopio.

Molemmat virheet syntyvät siitä, että nimeä pidetään identiteettinä.

Peruuta varmenne, jonka sarjanumero nimeää

Tunnista objekti ennen kuin kosket CA:han: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates tulostaa neljä arvoa yhdellä kertaa, ja sarjanumero on se, minkä täsmäytät CA:n arkistoon. Easy-RSA pitää arkistoa hakemistossa pki/certs_by_serial, yksi tiedosto kutakin sarjanumeroa kohden. Peruutuskäsky ottaa yleisen nimen eikä sarjanumeroa, joten kopioi arkistoitu tiedosto polkuun pki/issued/<common-name>.crt ja anna nimen osoittaa tunnistamaasi objektiin. Suorita easyrsa revoke <common-name> PKI-hakemistosta ja tarkista sitten, että vastaava rivi tiedostossa index.txt on vaihtunut merkkiin R. Sarjanumero on tapa valita objekti, ei argumentti, jonka käsky hyväksyy.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Jos index.txt ei näytä merkkiä R, pysähdy ja lue virhe ennen CRL:n luomista, sillä vielä voimassa olevasta tietueesta rakennettu CRL ei peru mitään. Vasta rivin vaihduttua suoritat easyrsa gen-crl ja siirryt tiedoston jakeluun.

Julkaise CRL siellä, missä sitä todella valvotaan

Luo uusi CRL PKI:n tuetulla työnkululla ja julkaise se sitten jokaisessa tarkistajassa, joka valvoo tämän myöntäjän peruutuksia.

CA:lla makaava päivitetty tiedosto ei muuta mitään, koska VPN päättää asian omassa tarkistajassaan. Tarkista CRL:n myöntäjä, voimassaoloaika ja peruutetut sarjanumerot sekä varmista, että palvelu lataa tiedoston uudelleen eikä välimuistita edellistä. Omistus ja polku merkitsevät yhtä paljon kuin sisältö: CRL, jota daemon ei voi lukea, ei eroa CRL:n puuttumisesta. OpenVPN:n crl-verify-asetus nimeää tiedoston, jonka daemon lukee, joten tarkista tämä polku ja tiedoston omistus palvelimen asetuksista.

Varmista todellisella yhteysyrityksellä, ei tiedoston aikaleimalla.

Tiedä, milloin CRL on väärä työkalu

Jos myöntäjän yksityiseen avaimeen ei enää luoteta, tunnettujen sarjanumeroiden peruuttaminen ei estä luvatonta haltijaa allekirjoittamasta uusia varmenteita. Kyse on myöntäjän luottamuksen siirtymästä eli uudesta CA:sta ja jakelusuunnitelmasta, ei uudesta merkinnästä CRL:ään. Entisen ylläpitäjän pääsy ei itsessään todista avaimen väärinkäyttöä, joten hanki tosiasiat ennen luottamuksen uudelleenrakentamista.

Myöntötietokannan muokkaaminen käsin tilakirjaimen kääntämiseksi ei korvaa allekirjoitettua peruutusta ja jättää CRL:n ristiriitaiseksi tietueiden kanssa.

Pidä sarjanumero, CRL ja jakeluvaihe yhdessä muistiinpanossa, niin seuraavasta auditoinnista tulee lukuharjoitus. Easy-RSA-projekti dokumentoi asennetun version tuetut komennot, ja se on ainoa käyttöliittymä, jota kannattaa seurata.