OCSP da CRL: yadda kowane gwajin sokewa ke aiki a zahiri

Ɗaya daga cikin waɗannan gwaje-gwajen soke guda biyu yana mayar da amsa mai sa hannu game da takardar shaida ɗaya, ɗayan kuma yana mayar da jeri mai sa hannu da kake saukewa gaba ɗaya. Dukansu ana nufin su gaya wa mai tabbatarwa ko takardar shaida har yanzu abin dogaro ce, kuma dukansu suna gazawa a hanyoyin da ba su yi kama da juna ko kaɗan. Tsarin da ke ƙasa yana bin abin da mai gudanarwa ke fuskanta a zahiri a cikin samarwa, daga byte ɗin da ke kan waya har zuwa ƙofar da ta ƙi haɗi. Tsallake mataki shine yadda turawa ke ƙarewa da manufar sokewa wadda ba ta wanzu sai a takarda.

Mataki 1: Abin da kowane gwaji ke mayarwa da tsawon lokacin da zai kasance mai amfani

Ana buga CRL a matsayin abu ɗaya mai sa hannu wanda ke rufe kowace takardar shaida da mai bayarwa ya soke, don haka mai tabbatarwa yana ɗauka sau ɗaya kuma yana sake amfani da ita har sai nextUpdate na jerin ya wuce. Amsar OCSP ta fi ƙunci: tana amsa takardar shaida ɗaya daidai kuma tana ɗauke da thisUpdate, producedAt da yawanci nextUpdate ma. Wannan bambanci ne ke jagorantar komai. CRL da aka adana tana tsufa a shiru, domin fayil ɗin har yanzu ana tantance shi kuma har yanzu ana tabbatar da sa hannunsa, yayin da amsar OCSP da ta ƙare ba ta da amfani a bayyane duk lokacin da ka karanta tambarin lokacinta.

Don haka ajiya ita ce abu na farko da za a ƙayyade: wace sashe ke riƙe kwafin, kuma wace iyaka kwafin ke bi. A ƙofa iyakar ya kamata ta zama nextUpdate a debe wani gefen aminci, ba abin da kan rubutun ajiya na HTTP ya ba da shawara bisa kuskure ba. openssl crl -in issuer.crl -noout -lastupdate -nextupdate yana buga duka kwanakin, kuma jeri wanda nextUpdate ɗinsa ya riga ya wuce ya kamata a ɗauke shi a matsayin wanda ya ɓace ba kawai tsohon ba.

Mataki 2: Inda takardar shaida ke nuni da abokin ciniki

Takardar shaidar ganye tana ɗauke da alamu biyu yawanci: tsawaita wurin rarraba CRL da shigarwar samun bayanin hukuma don OCSP. openssl x509 -in client.pem -noout -ext crlDistributionPoints yana buga na farko, na biyu kuma yana ƙarƙashin sashen AIA na openssl x509 -in client.pem -noout -text. Kowane tsawaita nuni ne, ba wajibi ba. Abokin ciniki da bai taɓa aiwatar da gwajin sokewa ba zai haɗa da kyau sosai da takardar shaida wadda tsawaitanta ke ambaton mai amsawa da ya mutu shekara guda.

Wuraren rarraba suna ambaton wani mashigin ciki wanda kawai ake warwarewa cikin sashen cibiyar sadarwa ɗaya, kuma wasu tsofaffin abokan ciniki suna ƙin adiresoshin ldap gaba ɗaya. Gwada isa daga mashigin da ke ƙarewar rami, ba daga kwamfutar hannu naka ba, domin shi ne kawai ra’ayi wanda gazawarsa ke da muhimmanci a zahiri.

Mataki 3: Zaɓi fail-closed ko fail-open kafin katsewar

Mai amsawa da ba a iya isa gare shi ko jerin da ya ƙare suna tilasta shawara: ƙi haɗin, ko karɓe shi kuma rubuta gibin. Umarnin verify na OpenSSL yana bayyana zaɓin tsantseni, domin ƙara -crl_check yana mai da CRL da ba ya samuwa zuwa unable to get certificate CRL da tabbatarwa da ta gaza. Rashin gazawa a yawancin tarin ba tuta ba ce kwata-kwata, rashin gwajin ne, kuma shi ya sa yake shigowa bisa kuskure.

Don ganin irin halin da abokin ciniki ke da shi a zahiri, cire mai amsawa ka sake haɗawa. Idan ramin har yanzu yana tashi, nemo layin tarihin da ya rubuta gwajin da aka tsallake, sannan ka tambaya ko wani zai karanta wannan layin yayin wani lamari. Mai sayarwa ɗaya na iya bambanta bisa ƙa’ida, inda abokin ciniki na IKEv2 da na OpenVPN a na’ura ɗaya ke karanta saitunan da ba su da alaƙa.

Mataki 4: Tabbatar gwajin yana gudana inda ake karɓar zirga-zirga

Nemo tsarin da ke ƙarewa ko ba da izinin haɗin, sannan ka tambaye shi layin saitin da ke kunna gwajin sokewa. Ƙofar da ke tabbatar da sarkar amma ba ta taɓa tambaya game da sokewa tana aiwatar da manufar da ta bambanta da wadda ke cikin takardunka, kuma babu hoton allo na sarkar takardar shaida da ke tabbatar da akasin haka. OpenVPN yana rubuta zaɓin a matsayin crl-verify; strongSwan yana riƙe binciken CRL da OCSP ƙarƙashin saitin CA, inda ake saita crl_uris ko ocsp_uris. Idan ba za ka iya nuni ga ɗaya ba, ɗauka gwajin ba ya nan.

Amsar OCSP tana da inganci ne kawai lokacin da CA mai bayarwa ta sa hannu, ko kuma mai amsawa da ke ɗauke da amfanin maɓalli mai tsawaita OCSPSigning da wannan CA ta wakilta ya sa hannu, don haka amsa daga sabis mara alaƙa ba ta tabbatar da komai. Idan kai kanka kake gudanar da mai amsawa, saka ido a kansa a matsayin dogaro mai ƙarfi, domin sabis ɗaya da ya mutu yana zama katsewa ga kowane abokin ciniki na fail-closed a lokaci ɗaya.

Mataki 5: Soke takardar shaida ɗaya da gangan

Ɗauki takardar shaidar gwaji, soke ta ta hanyar da samarwa ke amfani da ita, sannan ka tambayi mai amsawa kai tsaye. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text ya kamata ya bayar da rahoton Cert Status: revoked tare da lokacin sokewa, kuma amsar good na nufin sokewar ka ba ta isa ga mai amsawa da abokan cinikinka suke tambaya ba. Sannan gudanar da openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem don ganin wannan shawarar ta hanyar jerin. Karanta igiyar dalili maimakon lambar fita, domin ƙin sokewa da kuskuren sarkar duka suna ƙarewa da gazawa.

Matakin da ke da muhimmanci a zahiri shi ne na ƙarshe: sake haɗawa da tsohon bayanin martaba a gaban ainihin wurin aiwatarwa kuma tabbatar ƙin ya fito daga sokewa. Sannan sake haɗawa da sabuwar takardar shaida mai inganci don tabbatar ba ka karya mai sauraro kawai ba. Share bayanin martaba a abokin ciniki ba ya tabbatar da komai game da shawarar uwar garke, haka ma gudanar da openssl verify cikin nasara a na’urar da ba ta taɓa ƙarewar rami ba. RFC 6960 yana bayyana abin da amsar OCSP da ta dace ke ƙunshewa, gami da ƙimar matsayin da wannan gwajin ke karantawa.