Takardar shaidar VPN da aka soke tana haɗawa? Duba aiwatar da CRL

Ka soke takardar shaidar, ka ƙirƙiri sabon jeri, kuma tsohon bayanin martaba yana haɗawa da rami. Sokewa kanta ba ta lalace ba: CRL sanarwa ce da aka sa hannu cewa lambar jeri ba ta da inganci, kuma tana canza dama ne kawai lokacin da ɓangaren da ke ƙare TLS ya ɗora ta, ga mai bayarwa da ya dace, kafin ya yanke shawarar karɓa. A nan ne yawancin irin waɗannan al'amuran suke, don haka sokewa da ƙin yarda abubuwa biyu ne daban.

Bi gwaje-gwajen biyar da ke ƙasa bisa tsari, ka tsaya a na farko da bai tabbata ba, domin kowane gwaji na gaba yana ɗaukan na baya daidai ne.

Duba wane ɓangare ne ke yanke shawarar karɓa

Ambaci tsarin da ke tantance takardar shaidar abokin ciniki, domin shi kaɗai ne zai iya aiwatar da jeri. A kan sabar OpenVPN shi ne daemon da kansa, wanda aka saita da crl-verify. A cikin ocserv shi ne layin crl a cikin ocserv.conf. A cikin strongSwan abubuwan shigarwa su ne CRL da aka ɗora tare da strictcrlpolicy. Wani wakili ko na'ura da ke ƙare TLS a gaban VPN na iya zama ainihin mai tantancewa, kuma idan haka ne, daemon da ke bayansa ba ya taɓa ganin takardar shaidar abokin ciniki.

WireGuard yana cikin wani rukuni. Ba shi da takardun shaida kuma ba shi da jerin sokewa; ana karɓar peer ta hanyar maɓallinsa na jama'a a cikin saitin, don haka ƙare dama yana nufin cire wannan maɓalli. Idan kana neman CRL a cikin turawa da ke da WireGuard kawai, wannan hanyar ba ta nan.

Yi hankali da tarko a gefen abokin ciniki. Abokin ciniki da ya ƙi haɗawa saboda bai son takardar shaidar sabar yana aiwatar da sarƙar sabar, ba ya soke nasa bayanan shiga. Ana soke takardar shaidar mai amfani ne kawai a inda ake tantance wannan takardar, kuma kusan koyaushe gefen sabar ne.

Duba ga wane mai bayarwa aka sa hannu kan jeri

CRL tana iyakance ga CA ɗaya mai bayarwa. Da tushe da tsakiya, takardun shaidar ganye suna fitowa daga tsakiya, don haka jeri mai muhimmanci shi ne CRL na tsakiya; jerin tushe ba ya faɗin komai game da waɗannan ganye. Mai tantancewa da aka nuna wa fayil mara kyau yana nazarin ta cikin farin ciki, ba ya samun shigar da ta dace kuma yana karɓar komai.

Tabbatar da haɗin kafin ka taɓa daemon. Mai bayarwa a kan takardar shaidar dole ya dace da subject na jerin:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Lokacin da duka biyu suka fito daga CA ɗaya, lambar jerin da aka buga wa takardar ita ce ƙimar da dole ta bayyana a cikin jerin. Idan ba su dace ba, kana riƙe da CRL mara kyau ko kwafinta mara kyau.

Inganci na cikin wannan gwajin. nextUpdate a baya yana sa jerin ya tsufa, kuma mai tantancewa da ya kasa a rufaffe zai ƙi kowane abokin ciniki maimakon wanda aka soke kawai.

Duba cewa lambar jeri tana cikin kwafin da daemon ya ɗora

Sokewa yana rubuta shiga cikin bayanan CA, kuma sake ƙirƙira yana rubuta sabon fayil. Babu ɗaya daga cikinsu da zai isa ga daemon da ke aiki wanda ya ɗora tsohon kwafin a lokacin farawa. Fitar da jerin ka nemo lambar jerin:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Sannan duba yadda aiwatarwarka ke karɓar fayil ɗin. OpenVPN tana karanta hanyar da aka bayar wa crl-verify sau ɗaya a lokacin farawa, don haka sabon jeri na buƙatar sake farawa ko siginar sake farawa; wannan zaɓin idan an nuna shi ga babban fayil ana sake karanta shi a kowace haɗi, kuma shi ya sa akwai yanayin babban fayil. strongSwan dole ya sake ɗora bayanan shigarsa, misali da swanctl --load-creds. Fayil ɗin da ke kan faifai daidai ne da kuma mai tantancewa yana amfani da shi abubuwa biyu ne daban.

Duba manufar jeri da ya ɓace ko ya ƙare

Wannan ita ce shawarar da yawancin turawa ba su taɓa yankewa a fili ba, kuma tana ƙayyade ko sokewa tana kare ka ko tana kulle kowa a waje. Fail-closed yana nufin idan babu ingantaccen bayanin sokewa sai an ƙi; fail-open yana nufin mai tantancewa ya ci gaba ba tare da shi ba. strongSwan tana nuna zaɓin a matsayin strictcrlpolicy. OpenVPN da crl-verify tana ƙin farawa a kan fayil da ba za ta iya karantawa ko nazari ba, kuma jerin da ya ƙare yana bayyana a matsayin kuskuren tantance TLS game da CRL da ya ƙare maimakon karɓa a shiru.

Ko wace hanya ka zaɓa, sarrafa kai ya fi zaɓi muhimmanci: aikin da ke sake ƙirƙirar CRL kafin nextUpdate, da faɗakarwa lokacin da kwafin da aka tura ya tsufa, suna hana kowace manufa zama abin da ya faru. Bincike kan layi da OCSP yana motsa sabuntawa ga mai amsawa, amma wannan ƙa'ida ɗaya ce, domin mai tantancewa da ba a saita shi don duba amsar ba ya canza komai.

Duba zaman da ke aiki, sannan kwafin maɓalli

Ana kimanta sokewa yayin tantance takardar shaidar, wanda ke faruwa a lokacin haɗi da lokacin sake tattaunawa. Zaman da aka kafa yana ci gaba har sai ya sake tattaunawa, kuma tsoho na OpenVPN sau ɗaya a awa ɗaya da reneg-sec 3600. Idan mutumin dole ya fita daga cibiyar sadarwa yanzu, ƙare zaman tare da buga jerin, sannan tabbatar an ƙi sake haɗawa.

Raba bayanan shiga da kwafinsa. Share bayanin martaba a kan kwamfutar tafi-da-gidanka ɗaya ba ya hana wani kwafi na maɓallin sirri ɗaya tabbatarwa; sokewa ce ke sa kowane kwafi mara amfani, kuma sai idan gwaje-gwajen baya sun tabbata. Ba wa na'urar maye gurbin takardar shaidarta domin a iya soke ɗaya ba tare da taɓa ɗayan ba.

Kafin ka ce ya ƙare: an gano ɓangaren tantancewa, mai bayarwa na jerin ya dace da mai bayarwa na ganye, lambar jerin da aka soke tana cikin kwafin da daemon ya ɗora da gaske, manufar jerin da ya ɓace ko ya ƙare da gangan ce kuma ana sa ido, kuma an ƙare zaman da ke aiki maimakon jira. Tsarin da ke bayan duk wannan an bayyana shi a cikin RFC 5280.