Nebula hat trije bestannen nedich: CA, hostserifikaat, hostkaai

Jou immen in Nebula-map en hy sil meastentiids alles kopiearje, ek it bestân dat nea fan jo wurkstasjon ôf moat. De betizing is begryplik, want de trije bestannen yn 'e PKI-blok fan in host lykje opinoar en twa fan harren binne serifikaaten. Elk beantwurdet in oare fraach, en mar twa fan harren hearre op 'e knooppunt. Sortearje se nei rol foardat jo eat kopiearje.

Trije bestannen, trije ferskillende taken

It CA-serifikaat is in fertrouwensanker: it fertelt in host hokker autoriteiten te leauwen as in oare host syn identiteit presintearret. It hostserifikaat is de eigen legitimasaasje fan 'e knooppunt, ûndertekene troch dy autoriteit. De hostkaai is de byhearrende privee helte, en dy heart by krekt ien masine. In knooppunt mei it CA-serifikaat en syn eigen pear kin him by de overlay jouwe en bewize wa't er is. In knooppunt mei de kaai fan in oar kin him ek foardwaan as dy persoan, en dat is de flater dy't dizze opstelling foarkomme moat.

In wurkjende hostmap nei in twadde masine kopiearje is dus gjin fluchwei. It is in dûbele identiteit mei in foarsisber resultaat.

De ûndertekeningskaai reizget nea

De CA-ûndertekeningskaai is gjin part fan hokker hostkonfiguraasje dan ek. Hy smyt nije identiteiten, en wa't him hat kin in serifikaat meitsje foar elk overlay-adres en elke groep. Peers hawwe allinnich it iepenbiere CA-serifikaat nedich om hantekens te kontrolearjen, dat de privee helte hat hielendal gjin rol op in klant. Hâld him op 'e masine dêr't serifikaaten útjûn wurde, en behannelje in tafallige kopy as in ynsidint, net as in gemak.

As ferskate minsken serifikaaten útjaan moatte, jou se dan in proses ynstee fan in kopy fan 'e kaai. In dielde ûndertekeningskaai op in laptop is in autoriteit dy't nimmen auditeitsje of weromlûke kin.

Wat sit der yn in hostserifikaat

In hostserifikaat ferbynt mear as in bestânsnamme oan in kaai. It draacht it overlay-adres fan 'e knooppunt, syn namme en syn groeplidmaatskip, allegear ûndertekene sadat in peer beslute kin oft er it akseptearret. Dêrom betsjut it omneamen fan in host dat der in nij serifikaat útjûn wurde moat, net dat in konfiguraasjeline bewurke wurdt.

nebula-cert print -path host.crt lit sjen wat der eins útjûn is. Lês it foardat jo oannimme dat in serifikaat it adres draacht dat jo bedoelden.

Opnij lade is net altyd genôch

Guon PKI-ynstellings wurde op in sinjaal opnij laden, guon net. In serifikaat wêrfan't it overlay-adres feroare is is it klassike gefal dat in werstart fan it proses nedich hat ynstee fan in opnij lade.

Kontrolearje hokker paden it rinnende proses eins iepene hat, net allinnich hokker paden it konfiguraasjebestân neamt. Feroarje dan ien legitimasaasje, kontrolearje ferbining en logboeken, en pas dêrnei de folgjende. In opnij lade dat suksesfol liket wylst it âlde serifikaat yn it ûnthâld bliuwt, produsearret in misferstân dat op in routingprobleem liket. Werstarte is goedkeap; in identiteit debugge dy't de helte fan 'e overlay noch op 'e âlde manier sjocht, is dat net.

In identiteit fuortsmite freget in blokkearlist

It ferfangen fan in ferlern of bleatlein legitimasaasje hat twa helten. It nije serifikaat herstelt tagong, en de âlde identiteit moat ophâlde akseptearre te wurden. Dat binne aparte operaasjes, en allinnich it earste dwaan lit it kompromittearre legitimasaasje jildich.

De blokkearlist is in bestân dat jo oan hosts ferspriede, net eat dat in lighthouse út himsels stjoert. Plan hoe't er by elk knooppunt komt, ek by dyjingen dy't hjoed offline binne, en skriuw op hokker fingerôfdrukken jo blokkearre hawwe. Rotaasje de kaai op 'e útjaanmasine en bewarje de details fan it nije serifikaat by it hostrecord. In weromlûking dy't allinnich bestiet op 'e masine dy't jo bewurke hawwe, is gjin weromlûking.