VPN-sertifikaatynventaris: wat it CA-register bewize kin
In map op de tsjinner, in CA-register, in ynlûkingslist en in sesjetabel beäntwurdzje ferskillende fragen. Hâld se apart as jo VPN-identiteiten ynventarisearje.
Jo poarte akseptearret in kliïntsertifikaat dat er nea sjoen hat, om’t wat dêr’t er mei konfigurearre is in fertroude útjouwer is, en it sertifikaat komt by de hânskodding binnen. Sa heart it protokol te wurkjen, en dêrom is in maplist op ’e tsjinner in minne ynventaris. De útjouwer wit wat er makke hat, de tsjinner wit wat ferbûn is, en de ynlûkingstastân wit wat weromlutsen is. In ynventaris dy’t dy trije registers mjukset, beweart úteinlik wat gjinien fan harren sei.
De poarte fertrout in útjouwer, gjin bestânslist
Falidaasje fergeliket in oanbean sertifikaat mei in fertrouwensanker, sadat in identiteit dy’t juster troch deselde útjouwer makke is, ferbynt sûnder ea op ’e skiif fan ’e tsjinner bestien te hawwen. Dêrfoar hoecht neat kopyeare te wurden, en nimmen hoecht it mei de hân goed te karren. De eigen registers fan ’e tsjinner beskriuwe dus oankomsten, net de populaasje identiteiten dy’t oankomme kinne.
De oarsomme leechte is like ûngemaklik. In map kin ferrûne sertifikaten befetsje, ynlutsen en identiteiten útjûn foar apparaten dy’t nea ynset binne. Bestannen telle antwurdet hoefolle bestannen der binne, wat in fraach is dy’t nimmen steld hat. Begjin ynstee by de registers dy’t betsjutting drage.
Fjouwer fragen, fjouwer ferskillende registers
Elk registertype beantwurdet ien fraach goed en de oaren min, dêrom liket in rapport dat se gearfoeget folslein wylst it op in spesifike manier ferkeard is. De tabel hjirûnder oardersket se nei de fraach dy’t se besljochtsje, net nei it systeem dat se produsearret.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
In argyf fan iepenbiere sertifikaten is gjin geheim, om’t it gjin privee kaaien befettet, mar it is ek net te dielen. Underwerpen en apparaatnammen ferriede operasjonele details, en it rapport heart by it publyk te bliuwen dat it nedich hat. Privee kaaien bliuwe hielendal bûten it ynventaris, om’t it ynventaris metadata nedich hat, gjin legitimasaasjes.
Utjouwer plus searjenûmer is de iennichste stabile kaai
Underwerpen wurde recycld en bestânsnammen wurde opnij brûkt, sadat in namme dy’t ferline jier ien apparaat identifisearre, no in oar identifisearje kin. Gjinien fan beide is in kaai, en in rapport boud op ien fan beide sil úteinlik twa identiteiten yn ien rigel gearranje.
It pear útjouwer en searjenûmer identifisearret in sertifikaat unyk, en beide fjilden komme út it sertifikaat sels. Registrearje se mei it underwerp, de jildichheidsdatums, de boarne dêr’t de kopy wei kaam, en de ferantwurdlike persoan of it apparaat. Foegje ynlûkings- en ynsetstatus ta as aparte fjilden mei eigen observaasjetiden, om’t in sertifikaat binnen syn jildichheidsfinster net automatysk autorisearre is. Dy twa feiten libje yn ferskillende systemen, en har gearfoeging ferberget it gefal wêryn in identiteit weromlutsen is wylst har bestân noch aktueel liket.
Lês ien sertifikaat tagelyk
In wildcard dat him oer in map útwreidet is gjin batch-ynterface, en it ferberget hokker bestân hokker útfier produsearre hat. Lês de metadata per sertifikaat, en lês de ynlûkingskant út syn eigen artefakt. De OpenSSL x509-referinsje listet de fjilden dy’t dy opsjes printsje.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Foar in beheard Easy-RSA PKI, freegje de útjefte-databank oer de wurkstream dy’t it ark stipet ynstee fan in mapyndieling oan te nimmen, en hâld de orizjinele allinnich-lêzen wylst it ynventaris gearstald wurdt. It registerformaat is regulier genôch om jildige yngongen te tellen en de weromlutsen te listen sûnder de databank mei de hân te iepenjen.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5In ynventaris dy’t de folgjende útjefte oerlibbet
In ienmalige dump fan in map is ferâlge op it stuit dat it folgjende sertifikaat útjûn wurdt, bou it rapport dus út ’e útjeftewurkstream en lit it bywurkje as ûnderdiel fan normale operaasje. Dat makket it rapport ek reprodukber, wat fan belang is as twa minsken it net iens binne oer wat útjûn is.
Brûk it resultaat foar fernijings- en ôftaakbeslissingen, net as in rekkenblêd-oefening. It wiskjen fan in lokale kopy makket de eksterne kopyen dy’t al bestean net ûnjildich. Lûk de identiteit werom fia de konfigurearre ynlûkings- en autorisaasjewurkstream, en registrearje dan de weromlûking mei syn datum. In identiteit dy’t fan ’e tsjinner ferdwûn is mar noch troch de útjouwer fertroud wurdt, is net ôftanke, en dat ferskil skiedt in krekte ynventaris fan ien dy’t allinnich gerêststelt.