ביטול תוקף תעודות נכשל: איזה מארח לא מגיע למה

תעודות יכולות להימצא בתוך תקופת התוקף שלהן בעוד ה-VPN עדיין מדווח על כשל אימות, ומישהו מסיק שהתעודה בוטלה. אלה שלוש עובדות שונות. נתוני הביטול חייבים להיאחזר על ידי המכשיר שמבצע את האימות, מנקודת פרסום הנקראת בתוך התעודה עצמה. כשהמכשיר הזה אינו יכול להגיע לנקודה, הבדיקה נכשלת מסיבות שאין להן קשר לסטטוס של התעודה.

המאמת הוא בעל נתיב האחזור

התחילו בזיהוי המאמת. כשמחשב נייד בודק את התעודה של השער, המחשב הנייד מבצע את האחזור; כשהשער בודק תעודת לקוח, השער עושה זאת. שירות אימות בצד השרת יכול להוסיף מאמת שלישי עם מיקום רשת משלו. לכל אחד נתיב שונה לאינטרנט ותצורת פרוקסי שונה. ראיות שנאספו בתחנת העבודה של מנהל מערכת אינן אומרות דבר על שרת בתוך DMZ.

רשמו את התעודה, את המאמת, את זמן הניסיון ואת קוד הסטטוס המדויק לפני שאתם משנים משהו.

קראו את נקודת הפרסום מהתעודה

התעודה מציינת היכן נמצא הסטטוס שלה. קראו את השדות האלה במקום לנחש כתובת CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

ההרחבה הראשונה מפרטת נקודות הפצה של CRL, והשנייה מפרטת שיטות גישה למידע של הרשות, שעשויות לכסות סטטוס OCSP ואחזור של תעודת המנפיק. אלה מנגנונים שונים, ומשיב OCSP אינו קובץ CRL. מארח הפרסום הוא לעיתים קרובות שרת אינטרנט רגיל ולא מכונת ה-CA, משום שמנפיק לא מקוון יכול לחתום על CRL ששרת אחר מפיץ. לכן כלל חומת אש המתואר כגישה ל-CA מעורפל מכדי ליישם או לסקור.

בדקו אחזור מהמכשיר שמאמת

הריצו את מבחן האחזור בסביבה שבאמת מבצעת את האימות, עם חומר תעודה מאושר ובלי מפתחות פרטיים.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

הרצת certutil מאמתת את השרשרת ומדווחת אילו אחזורי URL הצליחו או נכשלו, בעוד קריאת curl בודקת כתובת פרסום אחת מאותו מארח ומחזירה רק קוד סטטוס. אחזור כושל מכתובת נגישה מצביע על בעיות תוכן או חתימה; שגיאת חיבור מצביעה על ניתוב, DNS או פרוקסי. שמרו את שתי התוצאות, כי אחזור מוצלח אחד אינו מוכיח שכל השרשרת שמישה. החליפו את המארח והנתיב בדוגמה בנקודת ההפצה שנמצאה בתעודה.

הפרידו נתונים חסרים מסטטוס מבוטל

ארבע תוצאות נראות אותו דבר מבחוץ: הנקודה אינה נגישה, הרשימה מיושנת, הרשימה חתומה בידי מנפיק שגוי, או שהתעודה באמת בוטלה. רק האחרונה היא תוצאת סטטוס, ורק היא מצדיקה הסרת גישה. מטמון מסבך את התמונה עוד יותר, משום שנתונים שנאחזרו קודם יכולים להסתיר נתיב פרסום שבור עד הרענון הבא. השבתת בדיקת הביטול, מחיקת תעודות לא קשורות או הפעלה מחדש של השער מחליפות את האבחון בפעילות.

לאחר התיקון, כפו אימות חדש ואשרו שאחזור הסטטוס המיועד מצליח. במקום שבו קיימת זהות בדיקה מבוקרת, אשרו שהיא עדיין נדחית, משום שזמינות שמסירה את הבדיקה אינה תיקון.