Easy-RSA seit dat de PKI ûntbrekt? It sjocht earne oars

It kommando stopet mei in ûntbrekkende ca.crt of in ûntbrekkende index.txt, wylst de CA al moannen sertifikaten útjout. Oan 'e autoriteit is neat feroare; it kommando hat gewoan earne oars seind. Easy-RSA 3 bepaalt in PKI-map út in opsje, in omjouwingsfariabele, in vars-bestân en in ynboude standertwearde, en elk dêrfan kin fan 'e autoriteit fan 'e ympleming ôfwize. Kontrolearje hokker wûn hat foardat jo wat oanmeitsje.

De flater neamt in bestân, gjin map

De ynstallaasjemap en de map fan 'e útjouwer binne twa ferskillende plakken. It finen fan easyrsa op 'e masine bewiist allinnich dat it ark ynstallearre is, net dat it de autoriteit fûn hat dy't jo VPN fertrout.

Dêrom fielt it pakket opnij ynstallearje of de init-stap opnij útfiere produktyf en feroaret neat.

Kontrolearje de kiezer earst

Yn Easy-RSA 3 is de kiezer EASYRSA_PKI of de byhearrende opsje --pki-dir. Jou in absolút paad, bygelyks --pki-dir=/srv/pki/office, en it antwurd hinget net mear ôf fan wêr't jo tafallich stiene. Dy iene gewoante hellet in hiele klasse fan dizze bug fuort, benammen foar skripts dy't út cron of út in CI-checkout rinne.

Befêstigje earst de generaasje, want de gewoante fan Easy-RSA 2 fan in vars-bestân plus build-key is in oar model as dat Easy-RSA 3 ferwachtet. easyrsa --version printsje de generaasje foardat it wat oars docht, en ./easyrsa --help listet de subkommando's op: in build-key-doel betsjut 2.x, wylst build-client-full 3.x betsjut. It meidragen fan in âld KEY_DIR-paad nei in 3.x-oprop, om't de mapnamme bekend liket, smyt krekt dizze flater op.

As de ferzjestring en de syntaksis fan it kommando net oerienkomme, stopje dan en lês de dokumintaasje fan 'e ynstallearre ferzje.

Foarrang ferklearret in vars-bestân dat ferlear

De dokumintearre foarrang is kommandorigelopsje, dan omjouwing, dan vars-bestân, dan ynboude standert. Dêrom ferliest in korrekte wearde yn vars tsjin in erfd omjouwingsfariabele, en dat is de stille ferzje fan dizze flater. Undersykje de bedoelde fariabelen en de bestânkar ynstee fan de hiele omjouwing yn in ticket te stoarten. It ferskil tusken de beide is meastentiids in geheim.

Rin de keatling yn folchoarder troch en notearje hokker boarne it paad joech dat it kommando brûkte. As jo dat witte, is de fix in flagge of in export, net in nije sertifikaasje-autoriteit.

De konfiguraasjereferinsje fan Easy-RSA definiearret de kiezer en de foarrang, en dat is de sitearring foar yn it ticket.

Befêstigje de útjouwer mei publike materiaal

Lês by de gewoane bestân-basearre útjouwer ca.crt en ferlykje syn fingerôfdruk mei it útjouwersrekord dat jo goedkard hawwe. In oerienkommende ûnderwerpnammen is gjin identiteitsbewiis, en in map mei de namme production ek net. Allinnich de fingerôfdruk ferbynt it bestân dat jo fûn hawwe mei de autoriteit dy't jo pearen ferteld waard om te fertrouwen.

In kontrôle dy't allinnich lêst is genôch: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Bepaal dan de rol fan 'e map. In oanfraachmap dy't in klant brûkt is gjin útjouwersdatabank, en in ûndertekeningskaai dy't offline bewarre wurdt hat neat te sykjen op elke VPN-host. In ûntbrekkende ca.key is in ûntwerpeigenskip yn dy opstelling, gjin tastimming om in ferfangende autoriteit te betinken.

As de steat echt fuort is

Soms is it paad goed en is de steat der echt net. In lege index.txt en in opnij starte searjenûmer jouwe jo in PKI dy't sûn liket en neat bewize kin oer de sertifikaten dy't it nea seach: fernijingen sille de âlde net yntrekke, en de nije nûmers sille botse mei de skiednis. Resteurearje ynstee út 'e goedkarde reservekopy fan 'e CA, want in lege PKI earne oars initialisearje ferpleatst allinnich de flater en lit in twadde, net besibbe autoriteit efter.

As it paad en de útjouwer oerienkomme, behannelje de folgjende flater op syn eigen merites. Permission denied, in ûndertekeningskaai dy't syn wachtfrase nedich hat, en in ûntbrekkend útjefterekord binne trije ferskillende brekken, en mar ien giet oer de map dy't jo krekt reparearre hawwe.

Stripsje nea kaai-fersifering en fergrutsje gjin maprjochten om in paadflater te bedekken. De flater is goedkeap te reparearjen; de reparaasje net.