Inventario de certificados VPN: que pode demostrar o rexistro da CA
Un cartafol no servidor, un rexistro da CA, unha lista de revocación e unha táboa de sesións responden preguntas distintas. Mantéñaos separados cando inventaríe identidades VPN.
A súa pasarela acepta un certificado de cliente que nunca viu, porque aquilo co que está configurada é un emisor de confianza, e o certificado chega durante o handshake. Así é como o protocolo debe funcionar, e por iso mesmo unha listaxe de directorio no servidor é un inventario deficiente. O emisor sabe que creou, o servidor sabe que se conectou, e o estado de revocación sabe que se retirou. Un inventario que mestura eses tres rexistros acaba afirmando algo que ningún deles dixo.
A pasarela confía nun emisor, non nunha listaxe de ficheiros
A validación compara un certificado presentado cunha áncora de confianza, de modo que unha identidade creada onte polo mesmo emisor conéctase sen ter existido nunca no disco do servidor. Non hai que copiar nada para que iso ocorra, e ninguén ten que aprobalo a man. Os rexistros propios do servidor describen, xa que logo, chegadas, non a poboación de identidades que poderían chegar.
A fenda inversa é igual de incómoda. Un directorio pode conter certificados caducados, revogados e identidades emitidas para dispositivos que nunca se despregaron. Contar ficheiros responde cantos ficheiros hai, que é unha pregunta que ninguén fixo. Comece en cambio polos rexistros que teñen significado.
Catro preguntas, catro rexistros distintos
Cada tipo de rexistro responde ben a unha pregunta e mal ás demais, por iso un informe que os fusiona parece completo mentres é incorrecto dun xeito concreto. A táboa seguinte ordénaos pola pregunta que resolven e non polo sistema que os produce.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Un arquivo de certificados públicos non é un segredo, xa que non contén claves privadas, pero tampouco é compartible. Os suxeitos e os nomes de dispositivo revelan detalles operativos, e o informe debe quedar co público que o necesita. As claves privadas quedan completamente fóra do inventario, porque o inventario necesita metadatos e non credenciais.
Emisor e número de serie son a única clave estable
Os suxeitos recíclanse e os nomes de ficheiro reutilízanse, así que un nome que o ano pasado identificaba un dispositivo pode agora identificar outro. Ningún dos dous é unha clave, e un informe baseado en calquera deles acabará fusionando dúas identidades nunha liña.
O par emisor e número de serie identifica un certificado de forma única, e ambos os dous campos saen do propio certificado. Rexístreos co suxeito, as datas de validez, a fonte da que veu a copia e a persoa ou o dispositivo responsable. Engada o estado de revocación e de despregamento como campos separados cos seus propios tempos de observación, porque un certificado dentro da súa xanela de validez non queda autorizado automaticamente. Esos dous feitos viven en sistemas distintos, e fusionalos oculta o caso en que unha identidade se retirou mentres o seu ficheiro aínda parece vixente.
Lea un certificado cada vez
Un comodín que se expande por un directorio non é unha interface por lotes, e oculta que ficheiro produciu que saída. Lea os metadatos certificado a certificado, e lea a parte de revocación desde o seu propio artefacto. A referencia de OpenSSL x509 enumera os campos que imprimen esas opcións.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Para un PKI Easy-RSA xestionado, consulte a base de datos de emisión mediante o fluxo de traballo que a ferramenta admite en lugar de supor unha disposición de directorios, e manteña os orixinais en só lectura mentres se arma o inventario. O formato do rexistro é abondo regular para contar as entradas válidas e listar as retiradas sen abrir a base de datos a man.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Un inventario que sobrevive á próxima emisión
Un volcado puntual dun directorio queda obsoleto no momento en que se emite o seguinte certificado, así que construa o informe desde o fluxo de emisión e deixe que se actualice como parte do funcionamento normal. Iso tamén fai que o informe sexa reproducible, o que importa cando dúas persoas discrepan sobre que se emitiu.
Use o resultado para decisións de renovación e retirada e non como un exercicio de folla de cálculo. Borrar unha copia local non invalida as copias remotas que xa existen. Retire a identidade mediante o fluxo de revocación e autorización configurado, e despois rexistre a retirada coa súa data. Unha identidade que desapareceu do servidor pero na que o emisor aínda confía non se retirou, e esa diferenza separa un inventario exacto dun que só tranquiliza.