VPN प्रमाणपत्र सूची: CA बहीखाता क्या सिद्ध कर सकता है
सर्वर पर एक फ़ोल्डर, एक CA बहीखाता, एक निरस्तीकरण सूची और एक सत्र तालिका अलग-अलग प्रश्नों के उत्तर देते हैं। VPN पहचानों की सूची बनाते समय इन्हें अलग रखें।
आपका गेटवे ऐसा क्लाइंट प्रमाणपत्र स्वीकार करता है जिसे उसने कभी देखा नहीं, क्योंकि जिससे वह कॉन्फ़िगर है वह एक विश्वसनीय जारीकर्ता है, और प्रमाणपत्र हैंडशेक के दौरान आता है। प्रोटोकॉल को इसी तरह काम करना चाहिए, और इसी कारण सर्वर पर निर्देशिका सूची एक खराब सूची है। जारीकर्ता जानता है कि उसने क्या बनाया, सर्वर जानता है कि क्या जुड़ा, और निरस्तीकरण स्थिति जानती है कि क्या वापस लिया गया। इन तीन अभिलेखों को मिलाने वाली सूची अंततः कुछ ऐसा दावा करती है जो उनमें से किसी ने नहीं कहा था।
गेटवे फ़ाइल सूची पर नहीं, जारीकर्ता पर भरोसा करता है
सत्यापन प्रस्तुत प्रमाणपत्र की तुलना विश्वास एंकर से करता है, इसलिए उसी जारीकर्ता द्वारा कल बनाई गई पहचान सर्वर की डिस्क पर कभी न होते हुए भी जुड़ जाती है। ऐसा होने के लिए कुछ भी प्रतिलिपि करने की आवश्यकता नहीं है, और किसी को इसे हाथ से स्वीकृत नहीं करना है। इसलिए सर्वर के अपने अभिलेख आगमन का वर्णन करते हैं, उन पहचानों की आबादी का नहीं जो आ सकती थीं।
उल्टा अंतराल भी उतना ही असहज है। एक फ़ोल्डर में समय-सीमा बीते प्रमाणपत्र, निरस्त प्रमाणपत्र, और ऐसे उपकरणों के लिए जारी पहचानें हो सकती हैं जो कभी तैनात नहीं हुए। फ़ाइलें गिनना बताता है कि कितनी फ़ाइलें हैं, जो ऐसा प्रश्न है जो किसी ने नहीं पूछा। इसके बजाय अर्थ रखने वाले अभिलेखों से शुरू करें।
चार प्रश्न, चार अलग अभिलेख
हर अभिलेख प्रकार एक प्रश्न का अच्छा उत्तर देता है और बाकी का बुरा, इसलिए उन्हें मिलाने वाली रिपोर्ट पूरी दिखती है जबकि वह एक विशिष्ट तरीके से गलत होती है। नीचे दी गई तालिका उन्हें उस प्रश्न के अनुसार क्रमबद्ध करती है जिसे वे सुलझाते हैं, न कि उस प्रणाली के अनुसार जो उन्हें उत्पन्न करती है।
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
सार्वजनिक प्रमाणपत्रों का संग्रह गुप्त नहीं है, क्योंकि इसमें कोई निजी कुंजी नहीं होती, परंतु यह साझा करने योग्य भी नहीं है। विषय और उपकरण नाम परिचालन विवरण उजागर करते हैं, और रिपोर्ट उसी दर्शक के पास रहनी चाहिए जिसे इसकी आवश्यकता है। निजी कुंजियाँ सूची से पूरी तरह बाहर रहती हैं, क्योंकि सूची को क्रेडेंशियल नहीं, मेटाडेटा चाहिए।
जारीकर्ता और क्रमांक ही एकमात्र स्थिर कुंजी हैं
विषय पुनःचक्रित होते हैं और फ़ाइल नाम दोबारा उपयोग होते हैं, इसलिए पिछले वर्ष जो नाम एक उपकरण की पहचान था वह अब किसी दूसरे की पहचान हो सकता है। इनमें से कोई कुंजी नहीं है, और इनमें से किसी पर बनी रिपोर्ट अंततः दो पहचानों को एक पंक्ति में मिला देगी।
जारीकर्ता और क्रमांक की जोड़ी प्रमाणपत्र को विशिष्ट रूप से पहचानती है, और दोनों फ़ील्ड स्वयं प्रमाणपत्र से आते हैं। इन्हें विषय, वैधता तिथियों, उस स्रोत के साथ जहाँ से प्रतिलिपि आई, और उत्तरदायी व्यक्ति या उपकरण के साथ दर्ज करें। निरस्तीकरण और तैनाती स्थिति को अपने अवलोकन समय वाले अलग फ़ील्ड के रूप में जोड़ें, क्योंकि वैधता अवधि के भीतर का प्रमाणपत्र स्वतः अधिकृत नहीं होता। ये दो तथ्य अलग प्रणालियों में रहते हैं, और उन्हें मिलाने से वह स्थिति छिप जाती है जहाँ किसी पहचान को वापस लिया गया जबकि उसकी फ़ाइल अभी भी अद्यतन दिखती है।
एक बार में एक प्रमाणपत्र पढ़ें
एक फ़ोल्डर में फैलने वाला वाइल्डकार्ड बैच इंटरफ़ेस नहीं है, और यह छिपाता है कि किस फ़ाइल ने कौन सा आउटपुट दिया। प्रत्येक प्रमाणपत्र के लिए मेटाडेटा पढ़ें, और निरस्तीकरण पक्ष को उसके अपने आर्टिफ़ैक्ट से पढ़ें। OpenSSL x509 संदर्भ उन फ़ील्डों की सूची देता है जो वे विकल्प छापते हैं।
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40प्रबंधित Easy-RSA PKI के लिए, उस कार्यप्रवाह के माध्यम से जारीकरण डेटाबेस से पूछें जिसे टूल समर्थित करता है निर्देशिका लेआउट मानने के बजाय, और सूची बनते समय मूल फ़ाइलों को केवल-पठन रखें। बहीखाता का प्रारूप इतना नियमित है कि डेटाबेस को हाथ से खोले बिना वैध प्रविष्टियाँ गिनी जा सकें और वापस लिए गए लोगों की सूची बनाई जा सके।
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5अगले जारीकरण तक टिकने वाली सूची
किसी फ़ोल्डर का एकबारगी डंप अगला प्रमाणपत्र जारी होते ही पुराना हो जाता है, इसलिए रिपोर्ट को जारीकरण कार्यप्रवाह से बनाएँ और सामान्य संचालन के भाग के रूप में उसे अद्यतन होने दें। यह रिपोर्ट को पुनरुत्पादनीय भी बनाता है, जो तब मायने रखता है जब दो लोग इस बात पर असहमत हों कि क्या जारी हुआ।
परिणाम का उपयोग नवीनीकरण और सेवानिवृत्ति निर्णयों के लिए करें, स्प्रेडशीट अभ्यास के रूप में नहीं। स्थानीय प्रतिलिपि हटाने से पहले से मौजूद दूरस्थ प्रतिलिपियाँ अमान्य नहीं होतीं। कॉन्फ़िगर किए गए निरस्तीकरण और प्राधिकरण कार्यप्रवाह से पहचान वापस लें, फिर उसकी तिथि के साथ वापसी दर्ज करें। जो पहचान सर्वर से गायब हो गई है परंतु जारीकर्ता अब भी जिस पर भरोसा करता है, वह सेवानिवृत्त नहीं हुई है, और यही अंतर सटीक सूची को केवल आश्वस्त करने वाली सूची से अलग करता है।