Nebula bloklista: distribuirajte je, svjetionik neće

Provedba blokliste svojstvo je hosta koji obavlja provjeru, a ne certifikata koji se provjerava. Stroj koji nikad nije učitao unos nastavlja prihvaćati identitet, i ništa u rukovanju ne upozorava da se dva partnera ne slažu. Jeftino i skupo rješenje za isti izloženi vjerodajni materijal razlikuju se po dosegu i po mogućnosti vraćanja, zato odlučite namjerno. Odjeljci u nastavku opisuju što unos radi, gdje ga treba dostaviti, kada je rotacija bolji odgovor i kako dokazati da je jedno od toga uspjelo.

Što bloklista zapravo radi

PKI konfiguracija navodi otiske koje host mora odbiti iako je certifikat valjano potpisan i nije istekao. Provedba se odvija lokalno, prema popisu koji je taj host učitao kad je usluga pokrenuta. Ništa o unosu ne putuje unutar certifikata, pa partner ne može naučiti odluku iz vjerodajnice koja mu je pokazana. Zato svjetionik ovdje nema nikakvu ulogu: svjetionici pomažu partnerima da pronađu jedni druge i prenose promet gdje izravan put zakaže. Oni su sloj otkrivanja i prijenosa, a ne kanal za distribuciju konfiguracije.

Ažuriranje jednog stroja mijenja odluke tog stroja i ostavlja svakog drugog partnera točno onakvim kakav je bio. Partner koji vjeruje potpisnom tijelu i nikad nije vidio unos nema razloga bilo što odbiti. Stoga testiranje opoziva promatranjem svjetionika ništa ne dokazuje, jer od komponente koju promatrate nikada nije traženo da provodi popis.

Prepoznajte certifikat, a ne uređaj

Upotrijebite otisak vjerodajnice koju namjeravate odbiti, jer naziv hosta, oznaka uređaja ili trenutačna adresa identificiraju stroj danas, a nešto drugo idući mjesec. Nijedan od tih nizova ne pojavljuje se na bloklisti i nijedan ne preživljava ponovnu instalaciju. Ispišite certifikat, pročitajte otisak i provjerite da pripada vjerodajnici koja se povlači, a ne njezinoj zamjeni. Čitanje obiju datoteka važno je kad je zamjena već izdana, jer stari i novi certifikat mogu dijeliti naziv i razlikovati se u svakom drugom polju.

Zabilježite koji je otisak blokiran i kada, kako bi kasnija revizija razlikovala dovršenu promjenu od namjeravane. Zabilježite i što unos ne čini: ne poništava potpisno tijelo i ne sprječava prihvaćanje budućeg certifikata tog tijela. Blokiranje certifikata hosta i zamjena kompromitiranog tijela različite su radnje s različitim posljedicama.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Distribuirajte je kao i svaku drugu konfiguraciju

Tretirajte popis kao konfiguraciju s mehanizmom dostave, a ne kao datoteku koju netko uređuje kad se sjeti. Pošaljite cijeli popis umjesto delte, kako bi se host koji je propustio ranije ažuriranje uskladio umjesto da gomila praznine. Dokumentacija Nebula PKI-ja preporučuje upravo to, i savjet je vrijedno slijediti doslovno, a ne preformulirati ga u ručni postupak.

Potvrdite da je pokrenuta usluga ponovno učitala sadržaj, a ne samo da se datoteka na disku promijenila. Pratite koji su strojevi primijenili promjenu i držite popis nedovršenih vidljivim dok ne bude prazan. Prijenosnik zatvoren tjedan dana partner je koji nikad nije naučio odluku i može se ponovno spojiti s mreže koju nitko nije očekivao. Zabilježite način dostave uz otisak, jer ga sljedeći opoziv ponovno koristi i na prvom se postupak ispravlja.

Bloklista ili rotacija tijela

Unos na bloklisti je uzak: jedan identitet prestaje raditi i sve ostalo se nastavlja. Rotacija potpisnog tijela je široka: svaki certifikat koji je izdalo postaje nepouzdan i svaki host treba novu vjerodajnicu i novo sidro povjerenja. Prvo je ciljani opoziv, a drugo je migracija, pa traže različita odobrenja i različite prozore održavanja. Tablica ih stavlja jedan uz drugi po dosegu, trudu i mogućnosti vraćanja.

Izgubljeni prijenosnik traži bloklistu, jer je radijus štete jedan identitet i promjena je povratna ako ste blokirali pogrešan otisak. Procurjeli ključ tijela traži rotaciju, jer bloklista ne može pomoći s certifikatima koji još nisu izdani. Između tih krajnosti, pitajte je li izložena vjerodajnica mogla potpisati još nešto, budući da je tijelo više od jednog hosta.

Zapišite odluku prije incidenta, jer odabir pod pritiskom u pravilu daje široku opciju kao zadanu. Kojim god putem krenuli, preostala radna stavka ista je: dokazati da se provedba dogodila na hostovima koji su važni. Bilježenje otiska i datuma u tom trenutku omogućuje dokaz kasnije.

Provjerite odbijanje i ostatak

Spojite se s blokiranog identiteta i potvrdite neuspjeh, zatim se spojite s ovlaštenog partnera i potvrdite da još uvijek doseže ono što mu treba. Promjena koja svima prekida veze nije uspješan opoziv. Učinite oboje iz novih sesija, jer predmemorirano stanje može sakriti rezultat.

Provjerite završava li uspostavljena sesija nakon promjene i zabilježite ponašanje za svoju verziju i konfiguraciju umjesto da pretpostavite da uređivanje datoteke bilo što prekida. Opcija disconnect_invalid pokriva klijente čiji su certifikati istekli ili nevažeći, zato potvrdite kako se primjenjuje na vaš slučaj prije nego se na nju oslonite. Ako je trenutačni prekid uvjet, testirajte ga posebno i zabilježite što ste vidjeli. Zatim ponovite test nakon ponovnog pokretanja, jer host koji provodi popis samo do sljedećeg podizanja sustava ima problem dostave koji je prvi test prikrio. Zdravi svjetionik govori vam da otkrivanje radi, a ne da je bilo koji partner primijenio pravilo.