Nebula tarvitsee kolme tiedostoa: CA, isännän varmenne ja isännän avain

Kun annat jollekulle Nebula-hakemiston, hän kopioi yleensä kaiken, mukaan lukien tiedoston, jonka ei pitäisi koskaan poistua työasemaltasi. Hämmennys on ymmärrettävää, sillä isännän PKI-lohkon kolme tiedostoa näyttävät samanlaisilta ja kaksi niistä on varmenteita. Jokainen vastaa eri kysymykseen, ja vain kaksi niistä kuuluu solmulle. Lajittele ne roolin mukaan ennen kuin kopioit mitään.

Kolme tiedostoa, kolme eri tehtävää

CA-varmenne on luottamuksen ankkuri: se kertoo isännälle, mitä viranomaisia uskoa, kun toinen isäntä esittää identiteettinsä. Isännän varmenne on solmun oma todiste, jonka kyseinen viranomainen on allekirjoittanut. Isännän avain on vastaava yksityinen puolisko, ja se kuuluu täsmälleen yhdelle koneelle. Solmu, jolla on CA-varmenne ja oma parinsa, voi liittyä overlayhin ja todistaa kuka on. Solmu, jolla on jonkun toisen avain, voi myös esiintyä tämän toisen henkilönä, ja juuri sen vian tämä järjestely on tarkoitettu estämään.

Toimivan isäntähakemiston kopioiminen toiselle koneelle ei siis ole oikotie. Se on kahdennettu identiteetti, jonka lopputulos on ennustettavissa.

Allekirjoitusavain ei matkusta koskaan

CA:n allekirjoitusavain ei kuulu mihinkään isäntäkokoonpanoon. Se luo uusia identiteettejä, ja sen haltija voi myöntää varmenteen mille tahansa overlay-osoitteelle ja mille tahansa ryhmälle. Vertaiset tarvitsevat allekirjoitusten tarkistamiseen vain julkisen CA-varmenteen, joten yksityisellä puoliskolla ei ole asiakkaassa mitään roolia. Pidä se koneessa, jossa varmenteita myönnetään, ja kohtele vahingossa syntynyttä kopiota välikohtauksena, älä mukavuutena.

Jos useiden ihmisten täytyy myöntää varmenteita, anna heille prosessi kopion sijaan. Kannettavalla tietokoneella jaettu allekirjoitusavain on valta, jota kukaan ei voi auditoida tai peruuttaa.

Mitä isännän varmenteen sisällä on

Isännän varmenne sitoo avaimeen muutakin kuin tiedostonimen. Se kantaa solmun overlay-osoitteen, nimen ja ryhmäjäsenyyden, kaikki allekirjoitettuina, jotta vertainen voi päättää, hyväksyykö sen. Siksi isännän uudelleennimeäminen tarkoittaa uuden varmenteen myöntämistä eikä kokoonpanorivin muokkaamista.

nebula-cert print -path host.crt näyttää, mitä tosiasiassa myönnettiin. Lue se ennen kuin oletat varmenteen kantavan tarkoittamasi osoitteen.

Uudelleenlataus ei aina riitä

Jotkin PKI-asetukset latautuvat uudelleen signaalista, jotkin eivät. Varmenne, jonka overlay-osoite on muuttunut on klassinen tapaus, joka vaatii prosessin uudelleenkäynnistyksen eikä uudelleenlatausta.

Varmista, mitkä polut käynnissä oleva prosessi todella avasi, älä vain mitkä polut kokoonpanotiedosto nimeää. Vaihda sitten yksi todiste, varmista yhteydet ja lokit ja vasta sitten koske seuraavaan. Uudelleenlataus, joka näyttää onnistuvan vanhan varmenteen jäädessä muistiin, tuottaa ristiriidan, joka näyttää reititysongelmalta. Uudelleenkäynnistys on halpaa; sellaisen identiteetin selvittäminen, jonka puolet overlaystä näkee yhä vanhalla tavalla, ei ole.

Identiteetin poistaminen vaatii estolistan

Kadonneen tai paljastuneen todisteen korvaamisessa on kaksi puoliskoa. Uusi varmenne palauttaa pääsyn, ja vanhan identiteetin on lakattava tulemasta hyväksytyksi. Ne ovat erillisiä toimia, ja vain ensimmäisen tekeminen jättää vaarantuneen todisteen voimaan.

Estolista on tiedosto, jonka jaat isännille, ei jotain, minkä lighthouse lähettää omatoimisesti. Suunnittele, miten se saavuttaa jokaisen solmun, myös ne, jotka ovat tänään offline-tilassa, ja kirjaa, mitkä sormenjäljet estit. Vaihda avain myöntävässä koneessa ja säilytä uuden varmenteen tiedot isäntätietueen yhteydessä. Peruutus, joka on olemassa vain muokkaamassasi koneessa, ei ole peruutus.