ક્લાયન્ટ સર્ટિફિકેટ ખોવાઈ ગયું? નામથી નહીં, સીરિયલથી રદ કરો

તમારા ક્લાયન્ટની સર્ટિફિકેટ ફાઇલ જતી રહી છે, અને સ્વાભાવિક પ્રતિક્રિયા નામ રદ કરીને નવું ઇશ્યૂ કરવાની છે. એ પ્રતિક્રિયા મૂળ સર્ટિફિકેટને માન્ય રાખે છે, કારણ કે રદ કરવું લેબલ પર નહીં, સીરિયલ નંબર પર કામ કરે છે. CA લગભગ ચોક્કસપણે પોતે ઇશ્યૂ કરેલ વસ્તુની નકલ રાખે છે, અને એ નકલ શોધવી એ આખું કામ છે.

ફાઇલ ખોવી એ CAનો રેકોર્ડ ખોવો નથી

Easy-RSA PKI પોતે ઇશ્યૂ કરેલા જાહેર સર્ટિફિકેટ રાખે છે, અને વર્તમાન આવૃત્તિઓ PKIની certs_by_serial ડિરેક્ટરીમાં સીરિયલ પ્રમાણે નકલો પણ સંગ્રહે છે. કંઈપણ રદ કરવા માટે ખાનગી કીની જરૂર નથી. મહત્ત્વનું એ છે કે CAએ સાઇન કરેલું ચોક્કસ સર્ટિફિકેટ, જે CA પાસે પહેલેથી છે.

યોગ્ય PKIની બેકઅપ નકલ પર, એનો માલિક એવા એડમિનિસ્ટ્રેટર સાથે કામ કરો. રદ કરવું એ ઓડિટ કરી શકાય તેવી ક્રિયા છે, મધરાત્રે પ્રોડક્શન ડેટાબેઝ પર કરાતું સમારકામ નહીં.

ક્લાયન્ટના ઇનલાઇન જાહેર સર્ટિફિકેટની નકલ પણ કામ આવે, જો ડિપ્લોયમેન્ટે એક રાખી હોય.

પહેલાં ઇશ્યુઅર અને સીરિયલ વાંચો

પુનઃપ્રાપ્ત PEM તપાસો અને ઇશ્યુઅર, સીરિયલ, સબ્જેક્ટ અને માન્યતા અવધિ લખો. સીરિયલ એક ઇશ્યુઅરના દાયરામાં અનન્ય છે, તમારા બધા CAમાં નહીં, તેથી ઇશ્યુઅર ઓળખનો ભાગ છે. જો અનેક સર્ટિફિકેટ એક જ સબ્જેક્ટ વહેંચે, તો એ સીરિયલ જ તેમને અલગ પાડે છે.

મૂલ્યોને CAના રેકોર્ડ સાથે અને જે ઉપકરણ કે વ્યક્તિ પાસે સર્ટિફિકેટ છે એવું તમે માનો છો તેની સાથે મેળવો.

સામાન્ય નામ ફરી વાપરી શકાય છે, અને સામાન્ય રીતે વપરાય છે. સીરિયલ લખાઈ ન જાય ત્યાં સુધી કયા સર્ટિફિકેટ પાછા ખેંચવા તે નક્કી કરશો નહીં.

નવું સર્ટિફિકેટ રદ કરવાથી કંઈ કેમ નથી થતું

એ જ સામાન્ય નામ સાથે બદલી ઇશ્યૂ કરવાથી અલગ સીરિયલવાળું બીજું સર્ટિફિકેટ બને છે. બદલી રદ કરવાથી નવું પાછું ખેંચાય છે અને મૂળ એની સમાપ્તિ સુધી માન્ય રહે છે. CAની દૃષ્ટિએ આ બે સ્વતંત્ર ઑબ્જેક્ટ છે, અને CRL નામ નહીં, સીરિયલની યાદી આપે છે. CA ઇન્ડેક્સ દરેક ઇશ્યૂ થયેલ સર્ટિફિકેટ માટે એક જ પંક્તિ રાખે છે, તે પણ એ જ કારણથી.

એ જ ગૂંચવણ ઊંધી ભૂલ પેદા કરે છે: ક્લાયન્ટની ફાઇલ ડિલીટ કરવી અને ધારવું કે CA એને ભૂલી ગયું. ક્લાયન્ટ પર ડિલીટ કરવું એ રદની ઘટના નથી, અને જેની પાસે નકલ છે તેના માટે સર્ટિફિકેટ કામ કરતું રહે છે.

બંને ભૂલો નામને ઓળખ તરીકે ગણવાથી આવે છે.

જે સર્ટિફિકેટનું નામ સીરિયલ બોલે છે તે રદ કરો

CAને અડકતા પહેલાં ઑબ્જેક્ટ ઓળખો: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates ચાર મૂલ્યો એક જ પાસમાં છાપે છે, અને CA આર્કાઇવ સાથે તમે જે મેળવો છો તે સીરિયલ છે. Easy-RSA એ આર્કાઇવ pki/certs_by_serial હેઠળ રાખે છે, દરેક સીરિયલના નામે એક ફાઇલ. રદ કરવાનો આદેશ સીરિયલ નહીં, સામાન્ય નામ લે છે, તેથી આર્કાઇવ કરેલી ફાઇલ pki/issued/<common-name>.crt પર કૉપી કરો અને નામને તમે ઓળખેલા ઑબ્જેક્ટ તરફ નિર્દેશ કરવા દો. PKI ડિરેક્ટરીમાંથી easyrsa revoke <common-name> ચલાવો, પછી તપાસો કે index.txt માંની સંબંધિત પંક્તિ R માં બદલાઈ છે. સીરિયલ એ ઑબ્જેક્ટ પસંદ કરવાની રીત છે, આદેશ સ્વીકારે તેવી દલીલ નહીં.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

જો index.txt R ન બતાવે, તો થોભો અને CRL બનાવતા પહેલાં ભૂલ વાંચો, કારણ કે હજી માન્ય રેકોર્ડ પરથી બનેલ CRL કંઈ પાછું ખેંચતું નથી. પંક્તિ બદલાયા પછી જ તમે easyrsa gen-crl ચલાવો છો અને ફાઇલ વહેંચવા આગળ વધો છો.

CRL જ્યાં ખરેખર લાગુ પડે છે ત્યાં પ્રકાશિત કરો

PKIની સમર્થિત કાર્યપ્રવાહ દ્વારા નવું CRL બનાવો, પછી આ ઇશ્યુઅરના રદ લાગુ કરતા દરેક વેરિફાયર પર તેને પ્રકાશિત કરો.

CA પર પડેલી અદ્યતન ફાઇલ કંઈ બદલતી નથી, કારણ કે VPN પોતાના વેરિફાયર પર નિર્ણય પૂરો કરે છે. CRLનો ઇશ્યુઅર, તેની માન્યતા અવધિ અને રદ થયેલા સીરિયલ તપાસો, અને ખાતરી કરો કે સેવા ફાઇલને ફરી લોડ કરે છે, અગાઉની કેશ કરતી નથી. માલિકી અને પાથ સામગ્રી જેટલા જ મહત્ત્વના છે: ડીમન વાંચી ન શકે તેવું CRL કોઈ CRL ન હોવા જેવું જ છે. OpenVPNનો crl-verify વિકલ્પ ડીમન જે ફાઇલ વાંચે છે તેનું નામ આપે છે, તેથી સર્વર કન્ફિગમાં એ પાથ અને ફાઇલની માલિકી તપાસો.

ફાઇલના ટાઇમસ્ટેમ્પથી નહીં, વાસ્તવિક કનેક્શન પ્રયાસથી ચકાસો.

CRL ક્યારે ખોટું સાધન છે તે જાણો

જો ઇશ્યુઅરની ખાનગી કી પર હવે ભરોસો ન હોય, તો જાણીતા સીરિયલ પાછા ખેંચવાથી કોઈ અનધિકૃત ધારકને નવાં સર્ટિફિકેટ સાઇન કરતાં રોકી શકાતું નથી. એ ઇશ્યુઅર-ભરોસાનું સંક્રમણ છે, એટલે નવું CA અને વિતરણ યોજના, CRLમાં બીજી નોંધ નહીં. ભૂતપૂર્વ એડમિનિસ્ટ્રેટરની ઍક્સેસ હોવી એ જાતે જ કીના દુરુપયોગનો પુરાવો નથી, તેથી ભરોસો ફરી બાંધતા પહેલાં તથ્યો મેળવો.

સ્ટેટસ અક્ષર ઉલટાવવા ઇશ્યૂઅન્સ ડેટાબેઝને હાથે સંપાદિત કરવું સાઇન કરેલ રદનો વિકલ્પ નથી, અને તે CRLને રેકોર્ડ સાથે અસંગત રાખે છે.

સીરિયલ, CRL અને વિતરણનું પગલું એક નોંધમાં રાખો, પછીનું ઓડિટ વાંચનનું કામ બની જશે. Easy-RSA પ્રોજેક્ટ તમે ઇન્સ્ટોલ કરેલ આવૃત્તિ માટે સમર્થિત આદેશોનું દસ્તાવેજીકરણ કરે છે, અને એ જ અનુસરવા લાયક એકમાત્ર ઇન્ટરફેસ છે.