क्लाइंट प्रमाणपत्र खो गया? नाम से नहीं, सीरियल से रद्द करें

आपके क्लाइंट की प्रमाणपत्र फ़ाइल चली गई है, और तुरंत प्रतिक्रिया नाम को रद्द करके नया जारी करने की होती है। यह प्रतिक्रिया मूल प्रमाणपत्र को वैध छोड़ देती है, क्योंकि रद्दीकरण लेबल पर नहीं, सीरियल नंबर पर काम करता है। CA लगभग निश्चित रूप से अपने जारी किए हुए की एक प्रति रखता है, और उस प्रति को खोजना ही पूरा काम है।

फ़ाइल खोना CA का रिकॉर्ड खोना नहीं है

Easy-RSA PKI अपने जारी किए गए सार्वजनिक प्रमाणपत्र रखता है, और मौजूदा संस्करण PKI की certs_by_serial निर्देशिका में सीरियल के अनुसार प्रतियाँ भी संग्रहीत करते हैं। कुछ भी रद्द करने के लिए निजी कुंजी की आवश्यकता नहीं है। महत्वपूर्ण वह सटीक प्रमाणपत्र है जिस पर CA ने हस्ताक्षर किए, और वह CA के पास पहले से है।

सही PKI की बैकअप प्रति पर, उसके स्वामी प्रशासक के साथ काम करें। रद्दीकरण एक ऑडिट-योग्य कार्रवाई है, आधी रात को उत्पादन डेटाबेस पर किया गया मरम्मत नहीं।

क्लाइंट के इनलाइन सार्वजनिक प्रमाणपत्र की प्रति भी काम करती है, यदि परिनियोजन ने एक रखी हो।

पहले जारीकर्ता और सीरियल पढ़ें

पुनर्प्राप्त PEM का निरीक्षण करें और जारीकर्ता, सीरियल नंबर, विषय और वैधता अवधि लिखें। सीरियल नंबर एक जारीकर्ता के दायरे में अद्वितीय है, आपके परिवेश के सभी CA में नहीं, इसलिए जारीकर्ता पहचान का हिस्सा है। यदि कई प्रमाणपत्र एक ही विषय साझा करते हैं, तो वही सीरियल उन्हें अलग करते हैं।

मानों को CA के रिकॉर्ड और उस डिवाइस या व्यक्ति से मिलाएँ जिसके पास प्रमाणपत्र होने का आपको विश्वास है।

सामान्य नाम का पुनः उपयोग हो सकता है, और आमतौर पर होता है। सीरियल लिखे जाने से पहले तय न करें कि कौन से प्रमाणपत्र वापस लेने हैं।

नया प्रमाणपत्र रद्द करने से कुछ क्यों नहीं होता

उसी सामान्य नाम से प्रतिस्थापन जारी करने पर अलग सीरियल वाला दूसरा प्रमाणपत्र बनता है। प्रतिस्थापन को रद्द करने से नया वापस ले लिया जाता है और मूल अपनी समाप्ति तक वैध रहता है। CA की दृष्टि से ये दो स्वतंत्र ऑब्जेक्ट हैं, और CRL नाम नहीं, सीरियल सूचीबद्ध करता है। CA इंडेक्स ठीक इसी कारण प्रत्येक जारी प्रमाणपत्र के लिए एक पंक्ति रखता है।

यही भ्रम उलटी गलती पैदा करता है: क्लाइंट की फ़ाइल मिटा देना और मान लेना कि CA उसे भूल गया। क्लाइंट पर मिटाना रद्दीकरण की घटना नहीं है, और जिसके पास प्रति है उसके लिए प्रमाणपत्र काम करता रहता है।

दोनों गलतियाँ नाम को पहचान मानने से आती हैं।

जिस प्रमाणपत्र का नाम सीरियल बताता है उसे रद्द करें

CA को छूने से पहले ऑब्जेक्ट की पहचान करें: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates चारों मान एक ही पास में छापता है, और सीरियल वही है जिसे आप CA संग्रह से मिलाते हैं। Easy-RSA वह संग्रह pki/certs_by_serial के अंतर्गत रखता है, प्रत्येक सीरियल के नाम पर एक फ़ाइल। रद्द करने का आदेश सीरियल नहीं, सामान्य नाम लेता है, इसलिए संग्रहीत फ़ाइल को pki/issued/<common-name>.crt पर प्रतिलिपि करें और नाम को उस ऑब्जेक्ट की ओर इंगित करने दें जिसे आपने पहचाना। PKI निर्देशिका से easyrsa revoke <common-name> चलाएँ, फिर जाँचें कि index.txt में संबंधित पंक्ति R में बदल गई है। सीरियल ऑब्जेक्ट चुनने का तरीका है, आदेश जो तर्क स्वीकार करता है वह नहीं।

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

यदि index.txt R नहीं दिखाता, तो रुकें और CRL बनाने से पहले त्रुटि पढ़ें, क्योंकि अभी भी वैध रिकॉर्ड से बना CRL कुछ भी वापस नहीं लेता। पंक्ति बदलने के बाद ही आप easyrsa gen-crl चलाते हैं और फ़ाइल वितरित करने आगे बढ़ते हैं।

CRL वहीं प्रकाशित करें जहाँ वह वास्तव में लागू होता है

PKI के समर्थित वर्कफ़्लो से नया CRL बनाएँ, फिर इसे हर उस सत्यापनकर्ता पर प्रकाशित करें जो इस जारीकर्ता के रद्दीकरण लागू करता है।

CA पर पड़ी अद्यतन फ़ाइल कुछ नहीं बदलती, क्योंकि VPN अपने स्वयं के सत्यापनकर्ता पर निर्णय समाप्त करता है। CRL का जारीकर्ता, उसकी वैधता अवधि और रद्द किए गए सीरियल जाँचें, और पुष्टि करें कि सेवा फ़ाइल को पुनः लोड करती है, पिछली को कैश नहीं करती। स्वामित्व और पथ सामग्री जितने ही महत्वपूर्ण हैं: जिस CRL को डेमन पढ़ नहीं सकता वह किसी CRL के न होने के बराबर है। OpenVPN का crl-verify विकल्प उस फ़ाइल का नाम देता है जिसे डेमन पढ़ता है, इसलिए सर्वर कॉन्फ़िग में वह पथ और फ़ाइल का स्वामित्व जाँचें।

फ़ाइल के टाइमस्टैम्प से नहीं, वास्तविक कनेक्शन प्रयास से सत्यापित करें।

जानें कब CRL गलत उपकरण है

यदि जारीकर्ता की निजी कुंजी पर अब भरोसा नहीं है, तो ज्ञात सीरियल वापस लेने से कोई अनधिकृत धारक नए प्रमाणपत्र पर हस्ताक्षर करने से नहीं रुकेगा। यह जारीकर्ता-विश्वास का संक्रमण है, यानी नया CA और वितरण योजना, CRL में एक और प्रविष्टि नहीं। पूर्व प्रशासक की पहुँच होना अपने आप में कुंजी के दुरुपयोग का प्रमाण नहीं है, इसलिए भरोसा फिर से बनाने से पहले तथ्य जुटाएँ।

स्थिति अक्षर पलटने के लिए जारीकरण डेटाबेस को हाथ से संपादित करना हस्ताक्षरित रद्दीकरण का विकल्प नहीं है, और यह CRL को रिकॉर्ड से असंगत छोड़ देता है।

सीरियल, CRL और वितरण चरण को एक नोट में रखें, और अगला ऑडिट पढ़ने का अभ्यास बन जाएगा। Easy-RSA परियोजना आपके द्वारा स्थापित संस्करण के लिए समर्थित आदेशों का दस्तावेज़ीकरण करती है, और यही एकमात्र इंटरफ़ेस है जिसका पालन करना उचित है।