Կլիենտի սերտիֆիկատը կորե՞լ է. չեղարկեք սերիական համարով, ոչ անունով

Ձեր կլիենտի սերտիֆիկատի ֆայլը անհետացել է, և առաջին արձագանքը անունը չեղարկելն ու նորը թողարկելն է։ Այդ արձագանքը թողնում է բնօրինակ սերտիֆիկատը վավեր, որովհետև չեղարկումը գործում է սերիական համարով, ոչ պիտակով։ CA-ն գրեթե անկասկած դեռ պահում է իր թողարկածի պատճենը, և այդ պատճենը գտնելը ողջ խնդիրն է։

Ֆայլ կորցնելը CA-ի գրառումը կորցնելը չէ

Easy-RSA PKI-ն պահում է իր թողարկած հանրային սերտիֆիկատները, իսկ ընթացիկ թողարկումները նաև արխիվացնում են պատճեններ ըստ սերիայի՝ PKI-ի certs_by_serial պանակում։ Ոչինչ չեղարկելու համար մասնավոր բանալին պետք չէ։ Կարևորը CA-ի ստորագրած ճշգրիտ սերտիֆիկատն է, որն արդեն CA-ի մոտ է։

Աշխատեք ճիշտ PKI-ի պահուստային պատճենի վրա՝ դրա սեփականատեր ադմինիստրատորի հետ։ Չեղարկումը ստուգելի գործողություն է, ոչ թե կեսգիշերին արտադրական տվյալների բազայում կատարվող վերանորոգում։

Կլիենտի ներկառուցված հանրային սերտիֆիկատի պատճենը նույնպես պիտանի է, եթե տեղադրումը մեկը պահել է։

Նախ կարդացեք թողարկողին և սերիան

Ուսումնասիրեք վերականգնված PEM-ը և գրեք թողարկողին, սերիական համարը, սուբյեկտը և վավերականության ժամկետը։ Սերիական համարը եզակի է մեկ թողարկողի սահմաններում, ոչ ձեր միջավայրի բոլոր CA-ների միջև, ուստի թողարկողը ինքնության մասն է։ Եթե մի քանի սերտիֆիկատ կիսում են սուբյեկտը, հենց այդ սերիաներն են տարբերակում դրանք։

Համեմատեք արժեքները CA-ի գրառումների և այն սարքի կամ անձի հետ, որը, ձեր կարծիքով, ունի սերտիֆիկատը։

Ընդհանուր անունը կարելի է կրկին օգտագործել, և սովորաբար այդպես է լինում։ Մի որոշեք, թե որ սերտիֆիկատներն ետ կանչել, մինչև սերիաները գրի չառնվեն։

Ինչու նոր սերտիֆիկատի չեղարկումը ոչինչ չի անում

Նույն ընդհանուր անունով փոխարինող թողարկելը ստեղծում է երկրորդ սերտիֆիկատ՝ այլ սերիայով։ Փոխարինողի չեղարկումը ետ է վերցնում նորը և բնօրինակը թողնում վավեր մինչև դրա ժամկետը։ CA-ի տեսանկյունից դրանք երկու անկախ օբյեկտ են, և CRL-ը թվարկում է սերիաներ, ոչ անուններ։ CA-ի ինդեքսը պահում է մեկ տող յուրաքանչյուր թողարկված սերտիֆիկատի համար հենց այդ պատճառով։

Նույն շփոթությունը ստեղծում է հակառակ սխալը՝ ջնջել կլիենտի ֆայլը և ենթադրել, որ CA-ն մոռացել է այն։ Կլիենտի մոտ ջնջելը չեղարկման իրադարձություն չէ, և սերտիֆիկատը շարունակում է աշխատել բոլորի համար, ովքեր պատճեն ունեն։

Երկու սխալներն էլ գալիս են անունը որպես ինքնություն դիտարկելուց։

Չեղարկեք սերտիֆիկատը, որը նշում է սերիան

Նույնականացրեք օբյեկտը մինչև CA-ին դիպչելը. openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates տպում է չորս արժեքները մեկ անցումով, և սերիան այն է, ինչ համեմատում եք CA-ի արխիվի հետ։ Easy-RSA-ն այդ արխիվը պահում է pki/certs_by_serial-ի տակ՝ մեկ ֆայլ յուրաքանչյուր սերիայի անունով։ Չեղարկման հրամանը վերցնում է ընդհանուր անուն, ոչ սերիա, ուստի պատճենեք արխիվացված ֆայլը pki/issued/<common-name>.crt հասցեում և թողեք անունը ցույց տա ձեր նույնականացրած օբյեկտին։ Գործարկեք easyrsa revoke <common-name>-ը PKI պանակից, ապա ստուգեք, որ index.txt-ում համապատասխան տողը փոխվել է R-ի։ Սերիան օբյեկտը ընտրելու եղանակն է, ոչ այն արգումենտը, որ հրամանն ընդունում է։

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Եթե index.txt-ը չի ցուցադրում R-ը, կանգ առեք և կարդացեք սխալը մինչև CRL ստեղծելը, որովհետև դեռ վավեր գրառումից կառուցված CRL-ը ոչինչ ետ չի վերցնում։ Միայն տողի փոխվելուց հետո եք գործարկում easyrsa gen-crl-ը և անցնում ֆայլի տարածմանը։

Հրապարակեք CRL-ը այնտեղ, որտեղ այն իրականում կիրառվում է

Ստեղծեք նոր CRL PKI-ի աջակցվող աշխատահոսքով, ապա հրապարակեք այն յուրաքանչյուր ստուգիչում, որը կիրառում է այս թողարկողի չեղարկումները։

CA-ի վրա ընկած թարմացված ֆայլը ոչինչ չի փոխում, որովհետև VPN-ը որոշումը ավարտում է իր սեփական ստուգիչում։ Ստուգեք CRL-ի թողարկողին, դրա վավերականության ժամկետը և չեղարկված սերիաները, և հաստատեք, որ ծառայությունը վերաբեռնում է ֆայլը, ոչ թե պահում է նախորդը քեշում։ Սեփականությունը և ուղին նույնքան կարևոր են, որքան բովանդակությունը. CRL-ը, որը դեմոնը չի կարող կարդալ, չի տարբերվում CRL-ի բացակայությունից։ OpenVPN-ի crl-verify ընտրանքը նշում է այն ֆայլը, որը կարդում է դեմոնը, ուստի ստուգեք այդ ուղին և ֆայլի սեփականությունը սերվերի կարգավորումներում։

Ստուգեք իրական միացման փորձով, ոչ ֆայլի ժամային նշանով։

Իմացեք, երբ CRL-ը սխալ գործիք է

Եթե թողարկողի մասնավոր բանալին այլևս վստահելի չէ, հայտնի սերիաների ետ կանչելը չի կարող խանգարել չլիազորված տիրոջը ստորագրել նոր սերտիֆիկատներ։ Դա թողարկողի վստահության անցում է, այսինքն՝ նոր CA և տարածման ծրագիր, ոչ թե CRL-ում ևս մեկ գրառում։ Նախկին ադմինիստրատորի հասանելիությունը ինքնին բանալու չարաշահման ապացույց չէ, ուստի վստահությունը վերականգնելուց առաջ ստացեք փաստերը։

Թողարկման տվյալների բազան ձեռքով խմբագրելը՝ կարգավիճակի տառը շրջելու համար, չի փոխարինում ստորագրված չեղարկմանը և CRL-ը թողնում է գրառումների հետ անհամապատասխան։

Պահեք սերիան, CRL-ը և տարածման քայլը մեկ նշումում, և հաջորդ աուդիտը կդառնա ընթերցանության վարժություն։ Easy-RSA նախագիծը փաստաթղթավորում է ձեր տեղադրած թողարկման աջակցվող հրամանները, և սա միակ միջերեսն է, որին արժե հետևել։