Nebula-bloklist: ferspriede dy, de fjoertoer docht it net
In bloklist-ynskriuwing jildt allinnich op hosts dy't har laden hawwe. Ferlykje it fersprieden fan 'e list mei it rotearjen fan 'e CA, en kontrolearje dan in wegere peer en ien dy't wurket.
It hanthavenjen fan 'e bloklist is in eigenskip fan 'e host dy't de kontrôle docht, net fan it sertifikaat dat kontrolearre wurdt. In masine dy't de ynskriuwing nea laden hat, bliuwt de identiteit akseptearjen, en neat yn 'e hânskodding warskôget dat twa peers it net iens binne. De goede keape oplossing en de djoere oplossing foar ien bleatsteld bewiisgea ferskille yn berik en yn omkearberens, dus kies bewust. De seksjes hjirûnder behannelje wat de ynskriuwing docht, wêr't se levere wurde moat, wannear't rotaasje it bettere antwurd is, en hoe't bewiisd wurdt dat ien fan beide wurke hat.
Wat in bloklist-ynskriuwing eins docht
De PKI-konfiguraasje listet fingerôfdrukken op dy't in host wegere moat, ek al is it sertifikaat jildich ûndertekene en net ferfallen. Hanthaving bart lokaal, tsjin 'e list dy't dy host laden hat doe't de tsjinst starte. Neat fan 'e ynskriuwing reizget yn it sertifikaat, dus in peer kin de beslissing net leare fan it bewiisgea dat him toand wurdt. Dat is wêrom't in fjoertoer hjir gjin rol spilet: fjoertoeren helpe peers om elkoar te finen en relaysje ferkear wêr't in direkte paad mislearret. Se binne in fyn- en relaylaach, gjin distribúsjekanaal foar konfiguraasje.
It bywurkjen fan ien masine feroaret de beslissingen fan dy masine en lit elke oare peer krekt sa't er wie. In peer dy't de ûndertekenjende autoriteit fertrout en de ynskriuwing nea seach, hat gjin reden om eat te wegerjen. It testen fan yntrekken troch nei de fjoertoer te sjen bewiist dêrom neat, want it komponint dêr't jo nei sjogge waard nea frege om 'e list te hanthavenjen.
Identifisearje it sertifikaat, net it apparaat
Brûk de fingerôfdruk fan it bewiisgea dat jo wegerje wolle, want in hostnamme, in apparaatlabele of in aktueel adres identifisearret hjoed in masine en moanne oare eat. Gjin fan dy strings komt yn 'e bloklist foar, en gjinien fan har oerlibbet in werinstallatie. Printsje it sertifikaat, lês de fingerôfdruk, en kontrolearje dat dy by it bewiisgea heart dat út tsjinst nommen wurdt en net by syn ferfanging. It lêzen fan beide bestannen is wichtich as der al in ferfanging útjûn is, om't de âlde en nije sertifikaten in namme diele kinne en yn alle oare fjilden ferskille.
Skriuw op hokker fingerôfdruk blokkearre waard en wannear, sadat in lettere audit in foltôge feroaring fan in bedoelde skiede kin. Notearje ek wat de ynskriuwing net docht: se ûnjildiget de ûndertekenjende autoriteit net, en se stopet net dat in takomstich sertifikaat fan dy autoriteit akseptearre wurdt. It blokkearjen fan in hostsertifikaat en it ferfangen fan in kompromittearre autoriteit binne ferskillende operaasjes mei ferskillende gefolgen.
nebula-cert print -path /etc/nebula/host.crt
pki:
blocklist:
- "a1b2c3d4e5f6"Ferspriede it lykas elke oare konfiguraasje
Behannelje de list as konfiguraasje mei in levermeganisme, net as in bestân dat immen bewurket as er der tinkt om. Stjoer de hiele list yn stee fan in delta, sadat in host dy't in eardere fernijing miste, konvergearret ynstee fan gatten op te bouwen. De Nebula PKI-dokumintaasje advisearret krekt dat, en it advys is it wurdich letterlik te folgjen ynstee fan it yn in hânmjittich proses om te parafrasearjen.
Kontrolearje dat de rinnende tsjinst de ynhâld werladen hat, net allinnich dat it bestân op skiif feroare is. Folgje hokker masines de feroaring tapasten en hâld de iepensteande list sichtber oant dy leech is. In laptop dy't in wike ticht is, is in peer dy't de beslissing nea learde, en dy't wer ferbine kin fan in netwurk dat nimmen ferwachte. Notearje de levermetoade njonken de fingerôfdruk, want de folgjende yntrekking brûkt dy wer, en it is by de earste dat it proses útskuord wurdt.
Bloklist of autoriteitsrotaasje
In bloklist-ynskriuwing is smel: ien identiteit hâldt op te wurkjen en al it oare giet troch. It rotearjen fan 'e ûndertekenjende autoriteit is breed: elk sertifikaat dat se útjoech wurdt net fertroud, en elke host hat in nij bewiisgea en in nij fertrouwensanker nedich. It earste is in rjochte yntrekking en it twadde is in migraasje, dus se ferkenne ferskillende goedkarringen en ferskillende ûnderhâldsfinsters. De tabel set de beide neist elkoar op berik, ynspanning en omkearberens.
| Question | Blocklist entry | Authority rotation |
|---|---|---|
| What stops working | One identity | Every certificate from that authority |
| Fleet work | Push one file and confirm a reload | New credentials and a new trust anchor everywhere |
| Reversible | Yes, remove the line | No, the old authority stays distrusted |
| Fits | A lost or stolen device | A leaked authority key |
In ferlern laptop freget om 'e bloklist, om't de skea ien identiteit is en de feroaring omkearber is as jo de ferkearde fingerôfdruk blokkearre hawwe. In lekte autoriteitssleutel freget om rotaasje, om't de bloklist net helpe kin by sertifikaten dy't noch net útjûn binne. Tusken dy ekstremen, freegje jo ôf oft it bleatstelde bewiisgea eat oars ûndertekenje koe, om't in autoriteit mear is as ien host.
Skriuw de beslissing op foar't in ynsidint bart, om't kiezen ûnder druk oer it algemien by fersin de brede opsje oplevert. Hokker paad jo ek nimme, it oerbleaune wurkitem is itselde: bewiisje dat hanthaving barde op 'e hosts dy't der ta dogge. It opnimmen fan 'e fingerôfdruk en de datum op dat stuit is wat it bewiis letter mooglik makket.
Kontrolearje de wegering en it oerbliuwsel
Ferbyn jo fan 'e blokkearre identiteit en befêstigje de mislearring, ferbyn jo dan fan in autorisearre peer en befêstigje dat dy noch berikt wat er nedich hat. In feroaring dy't elkenien brekt is gjin suksesfolle yntrekking. Doch beide fan nije sesjes, om't cachet steat it resultaat ferbergje kin.
Kontrolearje oft in besteande sesje nei de feroaring einiget, en notearje it gedrach foar jo ferzje en konfiguraasje ynstee fan oan te nimmen dat it bewurkjen fan in bestân eat beëiniget. De disconnect_invalid-opsje beslacht kliïnten waans sertifikaten ferfallen of ûnjildich binne, dus befêstigje hoe't dy op jo gefal fan tapassing is foar't jo derop fertrouwe. As direkte beëiniging in eask is, test dat dan spesifyk en notearje wat jo seagen. Werhelje de test dan nei in werstart, om't in host dy't de list allinnich oant de folgjende reboot hanthavet in leverprobleem hat dat de earste test ferburgen hie. In sûne fjoertoer fertelt jo dat ûntdekking wurket, net dat in peer in belied tapast hat.