Ar chealaigh tú an teastas VPN mícheart? Roghanna agus teorainneacha aischuir

Chealaigh duine éigin teastas i gconsól an CA agus anois ní féidir le húsáideoir ceangal. Is é an chéad instinct an cealú a fháil, agus don chuid is mó de PKInna níl a leithéid ann: is fíric dhearbhaithe faoi shraithuimhir é cealú, agus is teastas nua an bealach ar ais a dtacaítear leis, ní taifead droim ar ais. Téigh tríd na seiceálacha thíos in ord, mar braitheann sé ar an gcód fáthanna agus ar cé acu a nochtadh an eochair riamh cé acu deisiú a fhéadfaidh tú a úsáid.

Sainaithin an teastas, ní an duine

Athdhéantar ainmneacha coitianta. D'fhéadfadh úsáideoir a d'athchláraigh an ráithe seo caite dhá theastas a bheith aige leis an CN céanna agus le sraithuimhreacha éagsúla, agus fágann cealú ceann amháin go n-oibríonn an ceann eile. Socraigh an réad beacht ar dtús:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Scríobh síos an tsraithuimhir, an t-eisitheoir, dáta an chealaithe agus an fáth atá taifeadta sa CRL. Ansin deimhnigh cé na gléasanna a chuireann an tsraithuimhir sin i láthair, mar d'fhéadfadh teastas cealaithe a bheith fós suiteáilte ar ríomhaire glúine, ar fhón agus ar ródaire spártha, agus cruthaíonn ionadaí a shroicheann ceann acu amháin eachtra eile.

Deimhníonn seiceáil iompraíochta tapa an staid gan aon rud a athrú:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Má thuairiscíonn sé go bhfuil an teastas cealaithe, tá an CRL agus an cliant ar aon intinn; má fhíoraítear go glan é, ní hé an cliant atá agat an ceann cealaithe, agus leanann an cuardach ar aghaidh.

Seiceáil ar úsáid an CA coinneáil nó cealú buan

Sainmhíníonn RFC 5280 certificateHold mar staid shealadach, agus removeFromCRL mar an comhartha a scaoileann í. Tá an timthriall saoil sin fíor, ach ní cnaipe cealaithe ginearálta é. Insíonn léamh an chóid fáthanna duit ar bheartaigh an t-eisitheoir riamh tacú le scaoileadh.

Is é an gaiste glacadh leis go gciallaíonn rún sealadach taifead sealadach. Má tá keyCompromise nó cessationOfOperation ar iontráil an CA, tá an teastas cealaithe go buan is cuma cad a bhí i gceist ag an duine a bhrúigh an cnaipe. Os a choinne sin, tá iontráil atá marcáilte certificateHold ar CA nach gcuireann scaoileadh coinneála i bhfeidhm buan go praiticiúil, mar ní fhoilseoidh aon rud an scaoileadh riamh.

Léiríonn CAanna atá bunaithe ar OpenSSL an teorainn. Glacann an t-ordú ca le luachanna -crl_reason, lena n-áirítear certificateHold agus removeFromCRL, ach ní ghineann sé CRLanna deilte — luann doiciméadú OpenSSL CA an teorainn sin dá aschur CRL. Is múnla foilsitheoireachta difriúil é CRL iomlán a fhágann an tsraithuimhir ar lár go simplí ó dheilte a deir "scaoileadh an iontráil seo", mar sin ní tháirgeann greamú removeFromCRL i CA VPN atá bunaithe ar OpenSSL an scaoileadh a shainmhínítear de réir na gcaighdeán.

Má d'fhéadfaí an eochair a nochtadh, cuir ceann nua ina háit

Is ráiteas é teastas cealaithe nach féidir muinín a bheith agat as an eochair seo a thuilleadh. Má bhí an cealú ceart go substaintiúil — ríomhaire glúine caillte, eochair cóipeáilte chuig diosca roinnte, eochair phríobháideach greamaithe i dticéad — cuireann athchóiriú an teastais chéanna cinneadh slándála ar ais a bhí ag obair mar ba chóir.

Eisigh péire eochracha nua tríd an bpróiseas clárúcháin, dáileadh an próifíl nua, agus fág an tsean-sraithuimhir cealaithe ar feadh a saoil iomláin. Nuashonraigh gach rud a phionnálann céannacht de réir sraithuimhreach nó méarloirg, lena n-áirítear liostaí ceadúcháin, fardail ghléasanna agus monatóireacht a bhfuil teastas áirithe ag súil leis.

Tá an argóint áise maidir leis an seancheann a athchóiriú fíor, ach ba chóir freagra a thabhairt uirthi go sainráite seachas go ciúin. Is cúis é "tá rochtain de dhíth ar an úsáideoir inniu" chun eisiúint a luathú, ní cúis é chun cealú eochrach nach féidir leat cuntas a thabhairt uirthi a chealú ar ais.

Má ba mhíthuiscint riaracháin í, cuir ionadaí ina háit faoi rialú

Nuair a bhí an cealú mícheart go simplí agus nár nochtadh an eochair riamh, is ionadaíocht rialaithe fós é an deisiú seachas eagarthóireacht. Úsáid próiseas tacaithe an eisitheora, coinnigh an tsraithuimhir agus stair na heisiúna slán, agus seachain an dá aicearra mhealltacha: an carachtar stádais a chasadh i index.txt ó R ar ais go V, agus an ró eisiúna a scriosadh ionas gur féidir le teastas nua an tsraithuimhir a athúsáid.

Ar CA OpenSSL tá an bunachar sonraí scartha le tabanna agus éasca a mhíléamh, rud a fhágann eagarthóireacht láimhe mealltach:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Léigh é, ná scríobh é. Athraíonn eagarthóireacht an chomhaid an chéad CRL eile gan aon rian iniúchta, agus beidh aon dara hásc do CA nó cúltaca a choinníonn an bhunró fós in easaontas leis níos déanaí.

Tar éis an t-ionadaí a eisiúint, foilsigh CRL úr tríd an ngnáth-mheicníocht agus lig do na cliaint é a phiocadh suas. Deisíonn baint CRL, a shaolré a ghiorrú go dtí faic nó seiceáil cealaithe a dhíchumasú i bpróifíl an chliaint úsáideoir amháin trí gach cealú eile a d'fhoilsigh an CA riamh a lagú.

Deimhnigh ceadú úr agus coinnigh an taifead

Tástáil le nasc nua, ní leis an seisiún a bhí oscailte cheana. B'fhéidir nach n-athrithfidh tollán beo na seiceálacha ceadúcháin a dhéanann croitheadh láimhe úr, agus ciallaíonn taisce CRL gur féidir le cliant leanúint de cheangal go dtí go ndéanfar é a athnuachan. Dícheangail, athcheangail, agus deimhnigh i loga an fhreastalaí cén tsraithuimhir a ceadaíodh.

Taifead cad a tharla agus é fós úr: cén tsraithuimhir a cealaíodh, ag cé, le cén fáth, cén t-ionadaí a eisíodh, agus cathain a athfhoilsíodh an CRL. Is é an taifead sin a dhéanann an chéad athbhreithniú cealaithe eile indéanta, agus is é freisin an fhianaise gur láimhseáladh an mhíthuiscint seachas í a cheilt.

Le haghaidh fionraíochtaí gearra amach anseo, úsáid meicníocht sos ceadúcháin má tá ceann ag an imscaradh — cuntas díchumasaithe ag an gciseal céannachta, ballraíocht ghrúpa bainte, próifíl cliaint coinnithe siar. Coinníonn sé sin cinneadh beartais shealadach ar leithligh ón gceist an bhfuil teastas eisithe fós iontaofa, agus is é go díreach an t-idirdhealú sin a cailleadh an chéad uair.