Kliïntsertifikaat kwyt? Weromlûk op searjenûmer, net op namme

It sertifikaatbestân fan jo kliïnt is fuort, en de refleks is de namme weromlûke en in nije útjaan. Dy refleks lit it oarspronklike sertifikaat jildich, want weromlûken wurket op in searjenûmer en net op in label. De CA hat hast seker noch in kopy fan wat er útjûn hat, en dy kopy fine is de hiele taak.

In bestân ferlieze is net it record fan de CA ferlieze

In Easy-RSA-PKI bewarret de iepenbiere sertifikaten dy't er útjûn hat, en hjoeddeiske ferzjes argivearje ek kopyen op searje ûnder de certs_by_serial-map fan 'e PKI. De priveeskaai is net nedich om wat dan ek werom te lûken. Wat telt is it krekte sertifikaat dat de CA tekene hat, en dat hat de CA al.

Wurkje op in reservekopy fan 'e goede PKI, mei de behearder dy't der eigner fan is. Weromlûken is in auditearbere hanneling en gjin reparaasje oan in produksjedatabase midden yn 'e nacht.

In kopy fan it ynbêde iepenbiere sertifikaat fan 'e kliïnt kin ek, as de útrulling ien bewarre hat.

Lês earst de útjouwer en it searjenûmer

Undersykje de werombrochte PEM en skriuw de útjouwer, it searjenûmer, it ûnderwerp en de jildichheidsperioade op. It searjenûmer is unyk binnen it berik fan ien útjouwer, net oer alle CA's yn jo omjouwing, dat de útjouwer is part fan 'e identiteit. Dielde ferskate sertifikaten in ûnderwerp, dan binne it dy searjenûmers dy't se ûnderskiede.

Fergelykje de wearden mei de records fan 'e CA en mei it apparaat of de persoan dy't neffens jo it sertifikaat hat.

In gewoane namme kin wer brûkt wurde, en dat bart gauris. Beslis net hokker sertifikaten weromlutsen wurde moatte foardat de searjenûmers opskreaun binne.

Wêrom't weromlûken fan it nije sertifikaat neat docht

In ferfanging útjaan mei deselde gewoane namme makket in twadde sertifikaat mei in oar searjenûmer. It weromlûken fan 'e ferfanging lûkt it nije werom en lit it oarspronklike jildich oant it ferfalt. Fan 'e CA út binne dat twa ûnôfhinklike objekten, en in CRL listet searjenûmers op yn stee fan nammen. It CA-argyf hâldt presys dêrom ien rige per útjûn sertifikaat oan.

Deselde betizing makket de omkearde flater: it bestân fan 'e kliïnt wiskje en oannimme dat de CA it fergetten is. Wiskjen by de kliïnt is gjin weromlûkgebarren, en it sertifikaat bliuwt wurkjen foar elkenien dy't in kopy hat.

Beide flaters komme derfan dat de namme as de identiteit behannele wurdt.

Lûk it sertifikaat werom dat it searjenûmer neamt

Bepaal it objekt foardat jo de CA oanreitsje: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates printsje de fjouwer wearden yn ien gong, en it searjenûmer is wat jo mei it CA-argyf ferlykje. Easy-RSA bewarret dat argyf ûnder pki/certs_by_serial, mei ien bestân neamd nei elk searjenûmer. It weromlûkkommando nimt in gewoane namme yn stee fan in searjenûmer, dus kopiearje it argivearre bestân nei pki/issued/<common-name>.crt en lit de namme nei it objekt wize dat jo bepaald hawwe. Rin easyrsa revoke <common-name> út 'e PKI-map, kontrolearje dan oft de oerienkommende rige yn index.txt nei R omskeakele is. It searjenûmer is hoe't jo it objekt kieze, net in argumint dat it kommando akseptearret.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

As index.txt net R toant, stopje dan en lês de flater foardat jo in CRL meitsje, want in CRL boud fan in record dat noch jildich is, lûkt neat werom. Pas neidat de rige omskeakele is, rinne jo easyrsa gen-crl en gean jo troch nei it fersprieden fan it bestân.

Publisearje de CRL dêr't er echt hanthavene wurdt

Meitsje in nije CRL fia de stipe wurkwize fan 'e PKI, publisearje him dan by elke ferifiearder dy't de weromlûken fan dizze útjouwer hanthavet.

In bywurke bestân op 'e CA feroaret neat, want de VPN einiget de beslissing by syn eigen ferifiearder. Kontrolearje de útjouwer fan 'e CRL, de jildichheidsperioade en de weromlutsen searjenûmers, en befêstigje dat de tsjinst it bestân wer lêst yn stee fan it foarige te cachejen. Eigendom en paad telle likefolle as ynhâld: in CRL dy't de daemon net lêze kin, is net te ûnderskieden fan gjin CRL. De opsje crl-verify fan OpenVPN neamt it bestân dat de daemon lêst, dus kontrolearje dat paad en it eigendom fan it bestân yn 'e serverkonfiguraasje.

Ferifiearje mei in echte ferbiningpoging, net mei de tiidstimpel fan it bestân.

Wit wannear't in CRL it ferkearde helpmiddel is

As de priveeskaai fan 'e útjouwer net mear fertroud is, kin it weromlûken fan bekende searjenûmers net foarkomme dat in net-befoege hâlder nije sertifikaten tekent. Dat is in oergong fan útjouwersfertrouwen, dus in nije CA en in ferspriedingsplan, net noch in ynskriuwing yn 'e CRL. Dat in eardere behearder tagong hie, is op himsels gjin bewiis dat de kaai misbrûkt is, dus krij de feiten foardat jo it fertrouwen wer opbouwe.

De útjaan-database mei de hân bewurkje om in statusletter om te draaien is gjin ferfanging fan in tekene weromlûken, en it lit de CRL yn striid mei de records.

Hâld it searjenûmer, de CRL en de ferspriedingsstap yn ien notysje, dan wurdt de folgjende audit in lêsoefening. It Easy-RSA-projekt dokumintearret de stipe kommando's foar de ferzje dy't jo ynstallearre hawwe, en dat is de iennichste ynterface dy't it wurdich is om te folgjen.