Visszavonta a rossz VPN-tanúsítványt? Helyreállítási lehetőségek és korlátok

Valaki visszavont egy tanúsítványt a CA-konzolon, és most egy felhasználó nem tud csatlakozni. Az első ösztön a visszavonás visszafordítása, és a legtöbb PKI-ban ilyen nincs: a visszavonás egy sorozatszámról tett kijelentett tény, és a támogatott visszaút egy új tanúsítvány, nem egy megfordított rekord. Haladjon végig az alábbi ellenőrzéseken sorrendben, mert hogy melyik javítás engedélyezett, az okkódtól és attól függ, hogy a kulcs valaha ki volt-e téve.

A tanúsítványt azonosítsa, ne a személyt

A köznevek ismétlődnek. Egy felhasználónak, aki az előző negyedévben újra regisztrált, lehet két tanúsítványa ugyanazzal a CN-nel és eltérő sorozatszámmal, és az egyik visszavonása a másikat működőképesen hagyja. Először a pontos objektumot állapítsa meg:

openssl x509 -in client.crt -noout -serial -issuer -subject -dates
openssl crl -in ca.crl -noout -text | head -40

Írja fel a sorozatszámot, a kibocsátót, a visszavonás dátumát és a CRL-ben rögzített okot. Ezután erősítse meg, mely eszközök mutatják be ezt a sorozatszámot, mert egy visszavont tanúsítvány még telepítve lehet egy laptopon, egy telefonon és egy tartalék routeren, és az a csere, amely csak egyikükhöz jut el, második incidenst okoz.

Egy gyors viselkedési ellenőrzés bármit megváltoztatása nélkül megerősíti az állapotot:

openssl verify -crl_check -CAfile ca.crt -CRLfile ca.crl client.crt

Ha visszavontként jelenti a tanúsítványt, a CRL és a kliens egyetért; ha tisztán ellenőrizhető, a kezében lévő kliens nem a visszavont, és a keresés folytatódik.

Ellenőrizze, hogy a CA felfüggesztést vagy végleges visszavonást használt-e

Az RFC 5280 az certificateHold-t ideiglenes állapotként, a removeFromCRL-t pedig az ezt felszabadító jelzésként definiálja. Ez az életciklus valós, de nem általános visszavonás-visszafordító gomb. Az okkód elolvasása megmondja, akarta-e a kibocsátó valaha támogatni a felszabadítást.

A csapda annak feltételezése, hogy az ideiglenes szándék ideiglenes rekordot jelent. Ha a CA bejegyzés keyCompromise-t vagy cessationOfOperation-t hordoz, a tanúsítvány véglegesen visszavont, függetlenül attól, mit szándékozott a gombot megnyomó személy. Fordítva, a certificateHold jelöléssel ellátott bejegyzés olyan CA-n, amely nem valósítja meg a felfüggesztés felszabadítását, a gyakorlatban végleges, mert semmi sem fogja valaha közzétenni a felszabadítást.

Az OpenSSL-alapú CA-k szemléltetik a korlátot. A ca parancs elfogad -crl_reason értékeket, köztük certificateHold-t és removeFromCRL-t, de nem állít elő delta CRL-eket — az OpenSSL CA dokumentáció ezt a korlátot említi a CRL-kimeneténél. Az a teljes CRL, amely egyszerűen kihagyja a sorozatszámot, más közzétételi modell, mint az a delta, amely azt mondja: "ez a bejegyzés felszabadult", ezért a removeFromCRL beillesztése egy OpenSSL-alapú VPN CA-ba nem állítja elő a szabványok által meghatározott felszabadítást.

Ha a kulcs ki lehetett téve, cserélje ki

A visszavont tanúsítvány annak kijelentése, hogy ebben a kulcsban már nem lehet megbízni. Ha a visszavonás tartalmilag helyes volt — laptop elveszett, kulcs megosztott lemezre másolva, privát kulcs jegybe beillesztve —, akkor ugyanazon tanúsítvány helyreállítása visszafordít egy biztonsági döntést, amely a szándék szerint működött.

Adjon ki új kulcspárt a regisztrációs folyamaton keresztül, ossza szét az új profilt, és hagyja a régi sorozatszámot a teljes élettartamára visszavonva. Frissítsen mindent, ami a személyazonosságot sorozatszámhoz vagy ujjlenyomathoz rögzíti, beleértve a belépési listákat, az eszközleltárakat és a konkrét tanúsítványt váró megfigyelést.

A kényelmi érv a régi helyreállítása mellett valós, de azt nyíltan meg kell válaszolni, nem csendben. "A felhasználónak ma hozzáférésre van szüksége" ok arra, hogy felgyorsítsuk a kiállítást, nem ok arra, hogy visszavonjuk egy olyan kulcs visszavonását, amelyről nem tud elszámolni.

Ha adminisztratív hiba volt, ellenőrzötten cserélje

Amikor a visszavonás egyszerűen téves volt, és a kulcs soha nem volt kitéve, a javítás továbbra is ellenőrzött csere, nem szerkesztés. Használja a kibocsátó támogatott folyamatát, tartsa sértetlenül a sorozatszámot és a kiállítási előzményeket, és kerülje a két csábító rövidítést: a index.txt állapotkarakterének visszaforgatását R-ról V-ra, és a kiállítási sor törlését, hogy egy új tanúsítvány újrahasználhassa a sorozatszámot.

OpenSSL CA-n az adatbázis tabulátorral tagolt és könnyen félreolvasható, ami vonzóvá teszi a kézi szerkesztést:

awk -F'\t' '$1=="R" {print $4, $3, $6}' index.txt

Olvassa, ne írja. A fájl szerkesztése bármilyen auditnyom nélkül megváltoztatja a következő CRL-t, és minden második CA-példány vagy biztonsági mentés, amely még az eredeti sort tartalmazza, később ellentmond neki.

A csere kiállítása után tegyen közzé friss CRL-t a szokásos mechanizmuson keresztül, és hagyja, hogy az ügyfelek átvegyék. Egy CRL eltávolítása, élettartamának nullára rövidítése vagy a visszavonás-ellenőrzés letiltása az ügyfélprofilban egy felhasználót javít meg azzal, hogy minden más visszavonást meggyengít, amelyet a CA valaha közzétett.

Erősítsen meg egy friss beengedést, és őrizze meg a rekordot

Új kapcsolattal teszteljen, ne a már nyitva volt munkamenettel. Egy élő alagút nem biztos, hogy újrafuttatja a friss kézfogás által végzett beengedési ellenőrzéseket, és a CRL-gyorsítótárak miatt az ügyfél addig csatlakozhat, amíg frissül. Szakítsa meg, csatlakozzon újra, és a kiszolgálónaplóban erősítse meg, mely sorozatszámot engedték be.

Rögzítse, mi történt, amíg még friss: mely sorozatszámot vonták vissza, ki, milyen okkal, milyen csere lett kiállítva, és mikor tették közzé újra a CRL-t. Ez a rekord teszi lehetővé a következő visszavonási felülvizsgálatot, és ez annak a bizonyítéka is, hogy a hibát kezelték, nem elrejtették.

Jövőbeli rövid felfüggesztésekhez használjon beengedési szüneteltetési mechanizmust, ha a telepítés rendelkezik ilyennel — identitási rétegben letiltott fiók, eltávolított csoporttagság, visszatartott ügyfélprofil. Ez elkülöníti az ideiglenes szabályzatdöntést attól a kérdéstől, hogy egy kiállított tanúsítvány még megbízható-e, és pontosan ez a megkülönböztetés veszett el első alkalommal.