OCSP i gcoinne CRL: conas a oibríonn gach seiceáil athghairme i ndáiríre

Tugann ceann amháin den dá sheiceáil athghairme seo freagra sínithe faoi dheimhniú amháin, agus tugann an ceann eile liosta sínithe a íoslódálann tú ina iomláine. Tá an dá cheann le rá le fíoraí an bhfuil dintiúr fós iontaofa, agus teipeann ar an dá cheann ar bhealaí nach bhfuil cosúil le chéile ar chor ar bith. Leanann an t-ordú thíos an rud a thagann ar oibreoir i dtáirgeadh i ndáiríre, ag tosú leis na bearta ar an sreang agus ag críochnú le geata a dhiúltaíonn nasc. Is é an rud a tharlaíonn nuair a scipeáiltear céim ná go bhfanann imscaradh le polasaí athghairme nach bhfuil ann ach ar pháipéar.

Céim 1: Cad a thugann gach seiceáil ar ais agus cá fhad a fhanann sé inúsáidte

Foilsítear CRL mar aon rud sínithe a chlúdaíonn gach deimhniú a d’athghairm eisitheoir, mar sin faigheann fíoraí é uair amháin agus athúsáideann sé é go dtí go n-imíonn nextUpdate an liosta thart. Tá freagra OCSP níos cúinge: freagraíonn sé do dheimhniú amháin go beacht agus iompraíonn sé thisUpdate, producedAt agus de ghnáth nextUpdate freisin. Is é an difríocht sin a stiúrann gach rud eile. Éiríonn CRL atá i dtaisce as dáta go ciúin, mar go ndéantar an comhad a pharsáil fós agus go bhfíoraítear a shíniú fós, ach tá freagra OCSP atá as feidhm gan luach ar ndóigh an nóiméad a léann tú a stampaí ama.

Mar sin is é taisceadh an chéad rud atá le socrú: cén chomhpháirt a choimeádann an chóip, agus cén uasteorainn a chloíonn an chóip sin. Ar gheata ba cheart go mbeadh an uasteorainn mar nextUpdate lúide corrlach sábháilteachta, riamh an rud a mholann ceanntásc taisce HTTP trí sheans. Priontálann openssl crl -in issuer.crl -noout -lastupdate -nextupdate an dá dháta, agus ní mór liosta a bhfuil a nextUpdate san am atá thart cheana a láimhseáil mar rud atá ar iarraidh seachas mar sheanrud amháin.

Céim 2: Cá gcuireann an deimhniú an cliant

Iompraíonn an deimhniú duille de ghnáth dhá leid: síneadh pointe dáilte CRL agus iontráil rochtana faisnéise údaráis le haghaidh OCSP. Priontálann openssl x509 -in client.pem -noout -ext crlDistributionPoints an chéad cheann, agus tá an dara ceann faoi roinn AIA de openssl x509 -in client.pem -noout -text. Is pointeoir é gach síneadh, ní oibleagáid. Nascfaidh cliant nach gcuireann seiceáil athghairme i bhfeidhm riamh go breá le deimhniú a ainmníonn a shínithe freagróir atá marbh le bliain.

Is minic a ainmníonn pointí dáilte óstach inmheánach nach réitítear ach laistigh d’aon deighleog líonra amháin, agus diúltaíonn roinnt cliant níos sine d’URLanna ldap go hiomlán. Tástáil inrochtaineacht ón óstach a chríochnaíonn an tollán, ní ó do ríomhaire glúine féin, mar is é sin an t-aon dearcadh a bhfuil a theip tábhachtach i ndáiríre.

Céim 3: Roghnaigh fail-closed nó fail-open roimh an gcliseadh

Cuireann freagróir dosháraithe nó liosta as feidhm iallach ar chinneadh: diúltú don nasc, nó glacadh leis agus an bhearna a thaifeadadh. Déanann fo-ordú verify OpenSSL an rogha dhocht a dhéanamh soiléir, mar má chuireann tú -crl_check leis athraíonn CRL nach bhfuil ar fáil ina unable to get certificate CRL agus ina fhíorú teipthe. Ní bratach ar chor ar bith é soft-fail i bhformhór na gcruacha, is é easpa na seiceála é, agus is é sin go beacht an fáth a dtagann sé isteach de thaisme.

Chun a fheiceáil cén t-iompar atá ag cliant i ndáiríre, bain an freagróir amach agus athnasc. Má éiríonn an tollán fós, aimsigh an líne loga a thaifead an tseiceáil a scipeáladh, agus ansin fiafraigh an léifeadh aon duine an líne sin le linn teagmhais. Féadfaidh an díoltóir céanna a bheith éagsúil de réir prótacail, le cliant IKEv2 agus cliant OpenVPN ar aon mheaisín ag léamh socruithe cumraíochta gan bhaint acu le chéile.

Céim 4: Cruthaigh go ritheann an tseiceáil san áit a nglactar le trácht

Aimsigh an próiseas a chríochnaíonn nó a údaraíonn an nasc, ansin fiafraigh de faoin líne chumraíochta a chuireann seiceáil athghairme ar siúl. Cuireann geata a bhfíoraíonn an slabhra ach nach bhfiafraíonn riamh faoi athghairm polasaí éagsúil i bhfeidhm ón gceann atá i do dhoiciméadú, agus ní chruthaíonn aon scáileán de shlabhra deimhnithe a mhalairt. Scríobhann OpenVPN an rogha mar crl-verify; coimeádann strongSwan cuardaigh CRL agus OCSP faoi chumraíocht an CA, áit a socraítear crl_uris nó ocsp_uris. Mura féidir leat pointeáil chuig ceachtar acu, glac leis go bhfuil an tseiceáil as láthair.

Ní chomhairtear freagra OCSP ach amháin nuair a shínigh an CA eisitheach é, nó nuair a shínigh freagróir a bhfuil an úsáid eochair leathnaithe OCSPSigning tarmligthe ag an CA sin aige é, mar sin ní chruthaíonn freagra ó sheirbhís neamhghaolmhar aon rud. Má ritheann tú an freagróir féin, déan monatóireacht air mar spleáchas crua, mar aistríonn aon tseirbhís mharbh ina cliseadh do gach cliant fail-closed ag an am céanna.

Céim 5: Athghair deimhniú amháin d’aon ghnó

Tóg deimhniú trialach, athghair é tríd an gcainéal céanna a úsáideann táirgeadh, agus fiafraigh den fhreagróir go díreach. Ba cheart do openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text Cert Status: revoked a thuairisciú mar aon le ham athghairme, agus ciallaíonn freagra good nár shroich d’athghairm an freagróir a bhfiafraíonn do chliaint de. Ansin rith openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem chun an cinneadh céanna a fheiceáil trí chonair an liosta. Léigh an teaghrán cúise seachas an cóid scoir, mar tagann diúltú athghairme agus earráid slabhra araon chun críche le teip.

Is é an chéim a bhfuil tábhacht léi i ndáiríre an ceann deireanach: athnasc leis an seana-phróifíl i gcoinne an phointe forfheidhmithe fíor agus deimhnigh go dtagann an diúltú ón athghairm. Ansin athnasc le deimhniú úr, bailí chun a chruthú nár bhris tú ach an t-éisteoir. Ní chruthaíonn scriosadh an phróifíl ar an gcliant aon rud faoi chinneadh an fhreastalaí, agus ní dhéanann rith rathúil openssl verify ar mheaisín nach gcríochnaíonn tollán riamh ach an oiread. Sainmhíníonn RFC 6960 cad atá i bhfreagra OCSP comhréireach, lena n-áirítear na luachanna stádais a léann an tástáil seo.