Elveszett az ügyféltanúsítvány? Sorozatszám alapján vonja vissza, ne név szerint

Az ügyfél tanúsítványfájlja eltűnt, és a reflex a név visszavonása, majd új tanúsítvány kiadása. Ez a reflex érvényben hagyja az eredeti tanúsítványt, mert a visszavonás sorozatszámon alapul, nem címkén. A CA szinte biztosan őrzi a kiadott példány másolatát, és ennek a másolatnak a megtalálása a teljes feladat.

Fájl elvesztése nem a CA nyilvántartásának elvesztése

Az Easy-RSA PKI megőrzi a kiadott nyilvános tanúsítványokat, és a jelenlegi kiadások sorozat szerinti másolatokat is archiválnak a PKI certs_by_serial könyvtárában. A visszavonáshoz nincs szükség a privát kulcsra. A lényeg a CA által aláírt pontos tanúsítvány, amely már a CA birtokában van.

A megfelelő PKI biztonsági másolatán dolgozzon, a tulajdonos rendszergazdával együtt. A visszavonás auditálható művelet, nem éjfélkor egy éles adatbázison végzett javítás.

Az ügyfél beágyazott nyilvános tanúsítványának másolata is megfelel, ha az telepítés megőrzött egyet.

Először olvassa ki a kiadót és a sorozatszámot

Vizsgálja meg a visszaállított PEM-et, és jegyezze fel a kiadót, a sorozatszámot, a tárgyat és az érvényességi időszakot. A sorozatszám egy kiadó hatókörén belül egyedi, nem az összes CA között a környezetében, ezért a kiadó az azonosság része. Ha több tanúsítvány osztozik egy tárgyon, pont ezek a sorozatszámok különböztetik meg őket.

Vesse össze az értékeket a CA nyilvántartásával, valamint azzal az eszközzel vagy személlyel, akiről úgy véli, hogy a tanúsítvány birtokában van.

Egy közös név újra felhasználható, és általában fel is használják. Ne döntse el, mely tanúsítványokat vonja vissza, amíg a sorozatszámok nincsenek feljegyezve.

Miért nem tesz semmit az új tanúsítvány visszavonása

Az azonos közös névvel kiadott pót egy második tanúsítványt hoz létre, más sorozatszámmal. A pót visszavonása visszaveszi az újat, az eredetit pedig érvényben hagyja a lejáratig. A CA szemszögéből ez két független objektum, és a CRL sorozatszámokat sorol fel, nem neveket. A CA indexe éppen ezért tart egy sort minden kiadott tanúsítványhoz.

Ugyanez a zavar szüli a fordított hibát: törölni az ügyfél fájlját, és feltételezni, hogy a CA elfelejtette. Az ügyfélnél történő törlés nem visszavonási esemény, és a tanúsítvány továbbra is működik mindenkinek, akinek van róla másolata.

Mindkét hiba abból ered, hogy a nevet azonosságnak tekintik.

Vonja vissza a tanúsítványt, amelyre a sorozatszám hivatkozik

Azonosítsa az objektumot, mielőtt hozzányúl a CA-hoz: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates egyetlen menetben kiírja a négy értéket, és a sorozatszám az, amit a CA archívumával összevet. Az Easy-RSA ezt az archívumot a pki/certs_by_serial alatt tartja, sorozatszámonként egy fájllal. A visszavonási parancs közös nevet fogad el, nem sorozatszámot, ezért másolja az archivált fájlt a pki/issued/<common-name>.crt helyre, és hagyja, hogy a név az azonosított objektumra mutasson. Futtassa a easyrsa revoke <common-name> parancsot a PKI könyvtárából, majd ellenőrizze, hogy a megfelelő sor a index.txt fájlban R értékre váltott-e. A sorozatszám az objektum kiválasztásának módja, nem a parancs által elfogadott argumentum.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ha a index.txt nem mutatja a R jelet, álljon meg, és olvassa el a hibát a CRL létrehozása előtt, mert a még érvényes rekordból épített CRL semmit nem von vissza. Csak a sor átváltása után futtatja a easyrsa gen-crl parancsot, és tér át a fájl terjesztésére.

Tegye közzé a CRL-t ott, ahol valóban érvényesítik

Hozzon létre új CRL-t a PKI támogatott munkafolyamatával, majd tegye közzé minden olyan ellenőrzőnél, amely érvényesíti ennek a kiadónak a visszavonásait.

A CA-n heverő frissített fájl semmit nem változtat, mert a VPN a saját ellenőrzőjénél zárja le a döntést. Ellenőrizze a CRL kiadóját, érvényességi időtartamát és a visszavont sorozatszámokat, és erősítse meg, hogy a szolgáltatás újratölti a fájlt, nem pedig gyorsítótárazza az előzőt. A tulajdonjog és az útvonal ugyanolyan fontos, mint a tartalom: az a CRL, amelyet a démon nem tud beolvasni, megkülönböztethetetlen a CRL hiányától. Az OpenVPN crl-verify opciója megnevezi a fájlt, amelyet a démon olvas, ezért ellenőrizze ezt az útvonalat és a fájl tulajdonjogát a kiszolgáló konfigurációjában.

Valódi kapcsolódási kísérlettel ellenőrizze, nem a fájl időbélyegével.

Tudja, mikor rossz eszköz a CRL

Ha a kiadó privát kulcsa már nem megbízható, az ismert sorozatszámok visszavonása nem akadályozza meg egy jogosulatlan birtokost abban, hogy új tanúsítványokat írjon alá. Ez a kiadói bizalom átmenete, tehát új CA és terjesztési terv, nem pedig egy újabb CRL-bejegyzés. Egy korábbi rendszergazda hozzáférése önmagában nem bizonyíték a kulcs visszaélésére, ezért szerezze be a tényeket, mielőtt újjáépíti a bizalmat.

A kiadási adatbázis kézi szerkesztése egy állapotbetű átfordításához nem helyettesíti az aláírt visszavonást, és ellentmondásban hagyja a CRL-t a nyilvántartással.

Tartsa a sorozatszámot, a CRL-t és a terjesztési lépést egyetlen feljegyzésben, és a következő audit olvasási gyakorlattá válik. Az Easy-RSA projekt dokumentálja a telepített kiadás támogatott parancsait, és ez az egyetlen felület, amelyet érdemes követni.