Ferkeard VPN-sertifikaat ynlutsen? Herstelopsjes en grinzen

Immen hat in sertifikaat yn 'e CA-konsole ynlutsen en no kin in brûker net ferbine. De earste ympuls is de ûngedien meitsje sykje, en by de measte PKI's is dy der net: ynlûken is in útsprutsen feit oer in searjenûmer, en it stipe paad werom is in nij sertifikaat, net in omkeard record. Wurkje de kontrôles hjirûnder op folchoarder ôf, want hokker reparaasje jo brûke meie hinget ôf fan 'e redenkoade en fan oft de kaai ea bleatsteld is.

Identifisearje it sertifikaat, net de persoan

Gewoane nammen herhelje har. In brûker dy't ferline fearnsjier opnij ynskreaun is, kin twa sertifikaten hawwe mei deselde CN en ferskate searjenûmers, en it ynlûken fan ien lit de oare wurkje. Stel earst it krekte objekt fêst:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Skriuw it searjenûmer, de útjouwer, de datum fan ynlûken en de reden dy't yn 'e CRL fêstlein is op. Befêstigje dan hokker apparaten dat searjenûmer presintearje, want in ynlutsen sertifikaat kin noch ynstallearre wêze op in laptop, in tillefoan en in reserve-rûter, en in ferfanging dy't mar ien fan har berikt, makket in twadde ynsidint.

In flugge gedrachskontrôle befêstiget de steat sûnder eat te feroarjen:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

As it it sertifikaat as ynlutsen rapportearret, binne de CRL en de kliïnt it iens; as it skjin ferifiearret, is de kliïnt dy't jo hawwe net de ynlutsen iene, en giet it sykjen troch.

Kontrolearje oft de CA ophâld of permaninte ynlûking brûkt hat

RFC 5280 definiearret certificateHold as in tydlike steat, en removeFromCRL as it sinjaal dat dy frijlit. Dy libbenssyklus is echt, mar it is gjin algemiene ûngedien-meitsje-knop. It lêzen fan 'e redenkoade fertelt jo oft de útjouwer ea fan doel wie frijlitting te stypjen.

De fal is oan te nimmen dat in tydlike bedoeling in tydlik record betsjut. As de CA-ynfier keyCompromise of cessationOfOperation hat, is it sertifikaat permanint ynlutsen, wat de persoan dy't de knop yndrukte ek bedoelde. Oarsom is in ynfier markearre certificateHold op in CA dy't gjin ophâldfrijlitting ymplemintearret, yn 'e praktyk permanint, want neat sil ea de frijlitting publisearje.

CA's basearre op OpenSSL yllustrearje de grins. It kommando ca akseptearret -crl_reason-wearden, wêrûnder certificateHold en removeFromCRL, mar it generearret gjin delta-CRL's — de OpenSSL CA-dokumintaasje neamt dy beheining foar syn CRL-útput. In folsleine CRL dy't it searjenûmer gewoan weilitten, is in oar publikaasjemodel as in delta dy't seit "dizze ynfier is frijlitten", sadat it plakken fan removeFromCRL yn in op OpenSSL basearre VPN-CA net de troch standerts definiearre frijlitting opleveret.

As de kaai bleatsteld wêze kin, ferfange him

In ynlutsen sertifikaat is in ferklearring dat dizze kaai mooglik net mear te fertrouwen is. As it ynlûken ynhâldlik korrekt wie — laptop ferlern, kaai kopiearre nei in dield skiif, priveekaai yn in ticket plakt — dan keart it weromsetten fan itselde sertifikaat in feiligensbeslissing om dy't wurke sa't it bedoeld wie.

Jou in nij kaaipear út fia it ynskriuwproses, ferspriede it nije profyl en lit it âlde searjenûmer foar syn hiele libbensdoer ynlutsen. Fernij alles dat identiteit fêstspikert oan searjenûmer of fingerôfdruk, wêrûnder tagongslisten, apparaatynventarisearrings en monitoring dy't in bepaald sertifikaat ferwachtet.

It gemaksargumint om it âlde werom te setten is echt, mar der moat iepentlik antwurde wurde, net stil. "De brûker hat hjoed tagong nedich" is in reden om útjefte te fersnellen, net in reden om it ynlûken fan in kaai werom te draaien dêr't jo gjin ferantwurding foar jaan kinne.

As it in bestjoerlike flater wie, ferfange ûnder kontrôle

Wannear't it ynlûken gewoan ferkeard wie en de kaai nea bleatsteld is, is de reparaasje noch altyd in kontrolearre ferfanging en gjin bewurking. Brûk it stipe proses fan 'e útjouwer, hâld it searjenûmer en de útjeftehistoarje yntakt, en foarkom de twa ferloklike koartslutingen: it steatsteken yn index.txt fan R werom nei V draaie, en de útjefterige wiskje sadat in nij sertifikaat it searjenûmer wer brûke kin.

Op in OpenSSL-CA is de database tab-skieden en maklik ferkeard te lêzen, wat hânmjittich bewurkjen ferloklik makket:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Lês it, skriuw it net. It bewurkjen fan it bestân feroaret de folgjende CRL sûnder hokker auditpaad dan ek, en elke twadde CA-ynstânsje of reservekopy dy't de oarspronklike rige noch hat, sil it letter mei iens wêze.

Nei it útjaan fan 'e ferfanging, publisearje in farske CRL fia it normale meganisme en lit kliïnten dy ophelje. In CRL fuortsmite, syn libbensdoer ta neat ferkoartsje of it kontrolearjen fan ynlûking yn it kliïntprofyl útskeakelje reparearret ien brûker troch elke oare ynlûking te ferswakjen dy't de CA ea publisearre hat.

Befêstigje in farske tagong en bewarje it record

Test mei in nije ferbining, net mei de sesje dy't al iepen wie. In libbene tunnel fiert miskien net de tagongskontrôles opnij út dy't in farske hânskudding docht, en CRL-caches betsjutte dat in kliïnt trochgean kin mei ferbinen oant er ferfarsket. Ferbrek, ferbyn opnij, en befêstigje yn it serverlog hokker searjenûmer talitten waard.

Registrearje wat barde wylst it noch farsk is: hokker searjenûmer ynlutsen waard, troch wa, mei hokker reden, hokker ferfanging útjûn waard, en wannear't de CRL opnij publisearre waard. Dat record is wat de folgjende ynlûkingsbeoardieling mooglik makket, en it is ek it bewiis dat de flater behannele waard ynstee fan ferburgen.

Brûk foar koarte skorsings yn 'e takomst in tagongspauzemeganisme as de útrôl it hat — in akkount dat yn 'e identiteitslaach útskeakele is, in fuorthelle groepslistmaatskip, in tsjinhâlden kliïntprofyl. Dat hâldt in tydlike beliedsbeslissing skieden fan 'e fraach oft in útjûn sertifikaat noch fertrouber is, en krekt dat ûnderskie gie de earste kear ferlern.