VPN-tanúsítvány-leltár: mit tud bizonyítani a CA-nyilvántartás
A kiszolgálón lévő mappa, a CA-nyilvántartás, a visszavonási lista és a munkamenet-tábla más-más kérdésre válaszol. Tartsa őket külön, amikor VPN-identitásokat leltároz.
Az átjárója olyan ügyféltanúsítványt fogad el, amelyet még soha nem látott, mert amivel konfigurálták, az egy megbízható kibocsátó, és a tanúsítvány a kézfogás során érkezik. A protokollnak így kell működnie, és éppen ezért rossz leltár a kiszolgálón lévő könyvtárlista. A kibocsátó tudja, mit hozott létre, a kiszolgáló tudja, mi kapcsolódott, a visszavonási állapot pedig tudja, mit vontak vissza. Az a leltár, amely összekeveri ezt a három nyilvántartást, végül olyasmit állít, amit egyikük sem mondott.
Az átjáró kibocsátóban bízik, nem fájllistában
Az érvényesítés a bemutatott tanúsítványt egy megbízhatósági horgonyhoz hasonlítja, így az ugyanazon kibocsátó által tegnap létrehozott identitás úgy kapcsolódik, hogy soha nem létezett a kiszolgáló lemezén. Ehhez semmit nem kell másolni, és senkinek nem kell kézzel jóváhagynia. A kiszolgáló saját nyilvántartásai ezért érkezéseket írnak le, nem a lehetséges identitások sokaságát.
A fordított rés ugyanolyan kellemetlen. Egy mappa tartalmazhat lejárt tanúsítványokat, visszavontakat, és olyan eszközökhöz kiadott identitásokat, amelyeket soha nem telepítettek. A fájlok számolása azt válaszolja meg, hány fájl van, ami olyan kérdés, amelyet senki nem tett fel. Kezdje inkább a jelentéshordozó nyilvántartásokkal.
Négy kérdés, négy különböző nyilvántartás
Minden nyilvántartástípus egy kérdésre jól, a többi kérdésre rosszul válaszol, ezért az őket összevonó jelentés teljesnek látszik, miközben meghatározott módon hibás. Az alábbi táblázat a megoldott kérdés szerint rendezi őket, nem a létrehozó rendszer szerint.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
A nyilvános tanúsítványok archívuma nem titok, mivel nem tartalmaz privát kulcsokat, de nem is osztható meg. A tárgyak és az eszköznevek üzemeltetési részleteket árulnak el, és a jelentésnek annál a közönségnél kell maradnia, amelynek szüksége van rá. A privát kulcsok teljesen kívül maradnak a leltáron, mert a leltárnak metaadatokra van szüksége, nem hitelesítő adatokra.
A kibocsátó és a sorozatszám az egyetlen stabil kulcs
A tárgyakat újrahasznosítják és a fájlneveket újra felhasználják, így egy név, amely tavaly egy eszközt azonosított, ma már mást azonosíthat. Egyik sem kulcs, és bármelyikükre épülő jelentés végül két identitást von egy sorba.
A kibocsátó és a sorozatszám párosa egyedül azonosítja a tanúsítványt, és mindkét mező magából a tanúsítványból származik. Rögzítse őket a tárggyal, az érvényességi dátumokkal, a forrással, ahonnan a másolat érkezett, valamint a felelős személlyel vagy eszközzel. Adja hozzá a visszavonási és telepítési állapotot külön mezőkként, saját megfigyelési időkkel, mert az érvényességi ablakán belüli tanúsítvány nem automatikusan jogosult. Ez a két tény különböző rendszerekben él, és összevonásuk elrejti azt az esetet, amikor egy identitást visszavontak, miközben a fájlja még aktuálisnak látszik.
Egyszerre egy tanúsítványt olvasson
A mappán átterjedő helyettesítő karakter nem kötegelt felület, és elrejti, melyik fájl melyik kimenetet adta. Olvassa a metaadatokat tanúsítványonként, és a visszavonási oldalt a saját artefaktumából. Az OpenSSL x509 referenciája felsorolja azokat a mezőket, amelyeket ezek a kapcsolók kiírnak.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Felügyelt Easy-RSA PKI esetén a kibocsátási adatbázist az eszköz által támogatott munkafolyamaton keresztül kérdezze le, ahelyett hogy könyvtárelrendezést feltételezne, és tartsa az eredetiket csak olvashatóan, amíg a leltár összeáll. A nyilvántartás formátuma elég szabályos ahhoz, hogy az érvényes bejegyzéseket megszámolja és a visszavontakat felsorolja az adatbázis kézi megnyitása nélkül.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Olyan leltár, amely túléli a következő kibocsátást
Egy mappa egyszeri kiírása abban a pillanatban elavul, amikor kiadják a következő tanúsítványt, ezért a jelentést a kibocsátási munkafolyamatból építse fel, és hagyja, hogy a normál működés részeként frissüljön. Ez a jelentést reprodukálhatóvá is teszi, ami számít, amikor két ember nem ért egyet abban, mit adtak ki.
Az eredményt megújítási és kivonási döntésekhez használja, ne táblázatkezelési gyakorlatként. Egy helyi másolat törlése nem teszi érvénytelenné a már létező távoli másolatokat. Vonja vissza az identitást a beállított visszavonási és engedélyezési munkafolyamaton keresztül, majd rögzítse a visszavonást a dátumával. Az az identitás, amely eltűnt a kiszolgálóról, de a kibocsátó még mindig megbízik benne, nem lett kivonva, és ez a különbség választja el a pontos leltárt a csupán megnyugtatótól.