Cúltaca de CA príobháideach: cartlann chriptithe nó cúltaca eochair HSM

Ní hé an cheist a shocraíonn an chuid is mó de seo conas a chriptíonn tú an chartlann. Is í an cheist an féidir le d'eochair phríobháideach CA a coimeádán a fhágáil ar chor ar bith. Má tá an eochair ina comhad, is féidir leat an eolaire CA ar fad a chóipeáil isteach i mblob criptithe amháin agus a bheith críochnaithe i gceann nóiméad. Má tá sí ina cónaí in HSM nó i dteicnín a mharcálann an eochair mar rud nach féidir a bhaint amach, níl an chóip sin ann, agus iompaíonn do phlean ina phlean faoi nós imeachta fillte agus athchóirithe an díoltóra. Oibríonn an dá mhúnla, teipeann orthu ar bhealaí difriúla, agus is é an teip is féidir leat a mhaireachtáil an ceann ar fiú dearadh a dhéanamh timpeall uirthi.

Cá scarann an dá mhúnla cúltaca

Is cóip eolaire é Múnla A. Is eolaire oibre é CA ar stíl OpenSSL, ní deimhniú amháin: ca.key nó cakey.pem, ca.crt, an bunachar sonraí eisithe, na comhairimh serial agus crlnumber, agus openssl.cnf. Séalaigh an t-eolaire sin le sifir shiméadrach, bog an toradh go dtí dara meán, agus ciallaíonn athchóiriú díphacáil, fíorú, síniú. Taistealaíonn gach rud a theastaíonn ón eisitheoir le chéile, lena n-áirítear seachtainí de stair chúlghairme nach cuimhin le duine ar bith a bheith scríofa.

Is coimeád eochrach é Múnla B. Gintear an eochair taobh istigh de mhodúl PKCS#11 agus marcáiltear í mar rud nach féidir a bhaint amach; is féidir leis an modúl í a fhilleadh le haghaidh cúltaca, ach ní léann aon phróiseas na bearta amh riamh. Is é do chúltaca ansin dhá dhéantán nach mór a athchóiriú san ord ceart: blob eochrach fillte nach féidir ach leis an teaghlach modúl sin a dhífhillteadh, móide cóip shimplí den bhunachar sonraí, den chumraíocht agus de na deimhnithe.

Ní bhaineann an chomparáid riamh leis an múnla is láidre go teibí. Baineann sí leis an gceann is féidir le do fhoireann a athchóiriú ag 2 a chlog ar maidin leis na daoine atá i ndáiríre ina ndúiseacht. Tá cartlann nach féidir le duine ar bith a dhíchriptiú agus blob HSM nach bhfuil tástáil déanta ag duine ar bith chomh neamhúsáideach céanna. Is é an difríocht go dtagann teip na cartlainne chun solais i mbainisteoir focal faire, agus go bhfolachann teip an HSM i gconradh tacaíochta.

Cad a chaithfidh a bheith i ngach cúltaca CA

Teastaíonn an tsraith taifead céanna ón dá mhúnla. I CA OpenSSL is iad na comhaid sin index.txt le ró amháin in aghaidh gach deimhnithe eisithe a chlúdaíonn stádas, dul in éag, serial agus ábhar, ansin index.txt.attr, serial a choinníonn an chéad serial eile le heisiúint, crlnumber a choinníonn an chéad uimhir CRL eile, agus openssl.cnf leis an dir, an policy agus na default_days a ritheann do CA go hiarbhír leo. Míníonn lámhleabhar openssl-ca cad a rialaíonn gach ceann de na comhairimh sin. Coinníonn easy-rsa na sonraí céanna faoi pki/, agus socraíonn comhad vars réimsí an deimhnithe.

Is iad an eochair agus an deimhniú na codanna nach féidir leat a atógáil. Is é an bunachar sonraí an chuid nach féidir leat a atógáil ó chuimhne. Má sheachnaíonn tú index.txt bíonn tú fós in ann deimhnithe nua a shíniú, agus sin go díreach an gaiste: faigheann tú amach go bhfuil sé ar iarraidh an chéad uair a fhiafraíonn cliant an bhfuarthas cúlghairm ar dheimhniú. Taifead méarlorg an CA lasmuigh den chúltaca, ionas go gcuirtear athchóiriú i gcomparáid le luach a bhfuil muinín agat as seachas leis an gcomhad a d'athchóirigh tú díreach.

openssl x509 -in ca.crt -noout -fingerprint -sha256
tar czf ca-state.tar.gz ca.crt ca.key index.txt* serial* crlnumber* openssl.cnf
openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -in ca-state.tar.gz -out ca-state.tar.gz.enc
openssl ca -config openssl.cnf -gencrl -out crl.pem

Tástálacha athchóirithe nach ndéanann forcáil ar an eisitheoir

Breathnaíonn dhá CA bheo leis an ábhar céanna agus an eochair chéanna comhionann do gach cliant a bhfuil muinín aige as an mbunleagan. Is é dhá CRL a bhfuil an uimhir chéanna acu ach ábhar difriúil iontu an bealach a nglacann cliaint go ciúin le deimhniú a rinne tú a chúlghairm. Rith an t-athchóiriú ar óstach nach bhfuil aon bhealach aige chuig do chliaint, nó i VM aonuaire, agus ná foilsigh riamh an CRL a tháirgeann an tástáil.

Ní chruthaíonn tástáil nach gcruthaíonn ach go n-osclaíonn an chartlann aon rud faoin eisiúint. An seicheamh a chomhairtear: cuir méarlorg an ca.crt athchóirithe i gcomparáid leis an luach a thaifead tú, deimhnigh go gcomhfhreagraíonn an serial don rud a thugann do dheimhniú eisithe is déanaí le tuiscint, eisigh deimhniú amháin do CN aonuaire agus breathnaigh ar index.txt ró a ghnóthú, ansin cúlghair an deimhniú sin agus athghin an CRL.

openssl verify -CAfile ca.crt -CRLfile crl.pem -crl_check client.crt
openssl crl -in crl.pem -noout -lastupdate -nextupdate

Le HSM ritheann an tástáil chéanna tríd an modúl. Dífhill an blob isteach sa ghléas ionaid, deimhnigh go gcomhfhreagraíonn an deimhniú CA a thuairiscíonn an modúl do do mhéarlorg taifeadta, agus ansin amháin lig dó síniú. Má tá a stór réad féin ag an modúl, caithfidh an fhilleadh an réad eochrach agus a lipéad a chlúdach, mar déanann athchóiriú na heochrach faoi lipéad eile an chumraíocht a dhíríonn uirthi a bhriseadh.

Móid teipe a shocraíonn an rogha

Míníonn cúig theip an chuid is mó de na caillteanais fhíora. Iompaíonn frása faire cartlainne dearmadta gan cóip neamhspleách den rún an chartlann ina brící. Faigheann cóip amháin ar dhiosca amháin bás leis an diosca sin, agus ní insíonn suim sheiceála duit riamh an bhfuil an díchriptiú fós ag obair. Breathnaíonn deimhnithe a cúlghaireadh tar éis dháta an chúltaca bailí arís tar éis athchóirithe, mar sin is é d'earnáil chúltaca do phointe dall cúlghairme freisin. Athúsáideann athchóiriú comhairimh serial níos sine uimhreacha serial agus cuireann sé mearbhall ar thaisceanna agus ar chuardaigh CRL atá eochraithe ar serial. Iompaíonn HSM ionaid a dhiúltaíonn don blob fillte athrú crua-earraí ina ath-eisiúint iomlán.

Láimhseálann Múnla A an chéad cheithre cinn go dona ach go feiceálach. Láimhseálann Múnla B go maith iad go dtí go dteipeann ar an modúl nó ar phróiseas an díoltóra. Má tá do eochracha in-easpórtála agus an fhoireann beag, is é an chartlann chriptithe an rogha macánta, tacaíocht ag dhá mheán agus nós imeachta scríofa frása faire. Mura féidir an eochair a bhaint amach níl aon rogha agat ar chor ar bith, agus aistríonn an obair chuig cruthú bhóthar athchóirithe an díoltóra roimh an lá a mbeidh sé ag teastáil uait.

An múnla a roghnú agus a sceidealú

Socraíonn trí choinníoll an cinneadh. An féidir an eochair a easpórtáil gan phróiseas díoltóra? An gcaithfidh athchóiriú teacht i dtír ar chrua-earraí nach bhfuil agat cheana? Cá fhad is féidir leis an eisiúint stop a chur agus tú ag argóint leis an tacaíocht? Freagair an triúr sin agus tá an múnla socraithe; is sceidealú gach rud ina dhiaidh sin.

Tóg cúltaca tar éis gach searmanais sínithe agus roimh aon athrú cumraíochta, mar is cuid den staid í an chumraíocht. Coinnigh dhá chóip ar mheáin dhifriúla in áiteanna difriúla, ceann acu as líne, agus coinnigh an rún díchriptithe i bhfearann muiníne difriúil ó na cóipeanna. Scríobh dáta an athchóirithe rathúil dheireanaigh ar thaifead an chúltaca. Is hipitéis é cúltaca nach ndearnadh athchóiriú riamh air, ní rialú é.

Sula ndúnfaidh tú an ticéad, deimhnigh na cúig phointe seo:

• Tá méarlorg an ca.crt taifeadta in áit éigin lasmuigh den chúltaca.
• Tá index.txt, serial, crlnumber agus openssl.cnf go léir laistigh den chartlann nó den tsraith blob.
• Tá coimeád an fhrása faire nó na heochrach fillte doiciméadaithe agus ag duine éigin eile seachas úinéir na cartlainne.
• Tástáladh athchóiriú ar óstach iargúlta le heisiúint amháin agus cúlghairm amháin.
• Glactar go scríofa leis an mbearna chúlghairme a thugann d'earnáil chúltaca le tuiscint, nó giorraítear í.