VPN վկայագրերի գույքագրում. ինչ կարող է ապացուցել CA մատյանը
Սերվերի պանակը, CA մատյանը, չեղարկման ցանկը և նստաշրջանների աղյուսակը պատասխանում են տարբեր հարցերի։ Գույքագրելիս դրանք առանձին պահեք։
Ձեր դարպասը ընդունում է հաճախորդի վկայագիր, որը երբեք չի տեսել, որովհետև այն, ինչով այն կարգավորված է, վստահելի թողարկող է, և վկայագիրը գալիս է ձեռքսեղմման ընթացքում։ Այդպես է նախատեսված աշխատել արձանագրությունը, և հենց դրա համար սերվերի պանակի ցանկը վատ գույքագրում է։ Թողարկողը գիտի, թե ինչ ստեղծեց, սերվերը գիտի, թե ինչ միացավ, իսկ չեղարկման վիճակը գիտի, թե ինչ հետ վերցվեց։ Այս երեք գրառումը խառնող գույքագրումը վերջում պնդում է մի բան, որ նրանցից ոչ մեկը չէր ասել։
Դարպասը վստահում է թողարկողին, ոչ թե ֆայլերի ցանկին
Վավերացումը ներկայացված վկայագիրը համեմատում է վստահության խարիսխի հետ, այնպես որ նույն թողարկողի կողմից երեկ ստեղծված ինքնությունը միանում է՝ երբեք չգոյություն ունենալով սերվերի սկավառակի վրա։ Դրա համար ոչինչ պետք չէ պատճենել, և ոչ մեկը պարտավոր չէ դա ձեռքով հաստատել։ Այսպիսով, սերվերի սեփական գրառումները նկարագրում են ժամանումներ, ոչ թե ինքնությունների այն ամբողջությունը, որոնք կարող էին ժամանել։
Հակառակ բացն էլ նույնքան անհարմար է։ Պանակը կարող է պարունակել ժամկետանց վկայագրեր, չեղարկվածներ և ինքնություններ, որոնք տրվել են երբեք չտեղակայված սարքերի համար։ Ֆայլերը հաշվելը պատասխանում է, թե քանի ֆայլ կա, ինչը հարց է, որ ոչ ոք չի տվել։ Փոխարենը սկսեք իմաստ կրող գրառումներից։
Չորս հարց, չորս տարբեր գրառում
Գրառումների յուրաքանչյուր տեսակ լավ պատասխանում է մեկ հարցի և վատ՝ մյուսներին, դրա համար էլ դրանք միաձուլող հաշվետվությունը ամբողջական է թվում, մինչդեռ սխալ է որոշակի ձևով։ Ստորև աղյուսակը դասավորում է դրանք ըստ լուծվող հարցի, ոչ ըստ դրանք արտադրող համակարգի։
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Հանրային վկայագրերի արխիվը գաղտնիք չէ, քանի որ այն մասնավոր բանալիներ չի պարունակում, բայց նաև կիսելու ենթակա չէ։ Սուբյեկտները և սարքերի անունները բացահայտում են գործառնական մանրամասներ, և հաշվետվությունը պետք է մնա այն լսարանի մոտ, որին այն պետք է։ Մասնավոր բանալիները լիովին դուրս են մնում գույքագրումից, որովհետև գույքագրմանը պետք են մետատվյալներ, ոչ թե հավատարմագրեր։
Թողարկողը և սերիական համարը միակ կայուն բանալին են
Սուբյեկտները վերամշակվում են, և ֆայլերի անունները կրկին օգտագործվում, այնպես որ անունը, որը անցյալ տարի նույնացնում էր մի սարք, այժմ կարող է նույնացնել մեկ ուրիշը։ Նրանցից ոչ մեկը բանալի չէ, և դրանցից որևէ մեկի վրա կառուցված հաշվետվություն ի վերջո կմիավորի երկու ինքնություն մեկ տողում։
Թողարկողի և սերիական համարի զույգը եզակիորեն նույնացնում է վկայագիրը, և երկու դաշտերն էլ վերցված են հենց վկայագրից։ Գրանցեք դրանք սուբյեկտի, վավերականության ամսաթվերի, պատճենի աղբյուրի և պատասխանատու անձի կամ սարքի հետ միասին։ Ավելացրեք չեղարկման և տեղակայման կարգավիճակը որպես առանձին դաշտեր՝ իրենց դիտարկման ժամանակներով, որովհետև վավերականության պատուհանի ներսում գտնվող վկայագիրը ինքնաբերաբար լիազորված չէ։ Այս երկու փաստերն ապրում են տարբեր համակարգերում, և դրանց միավորումը թաքցնում է այն դեպքը, երբ ինքնությունը հետ վերցվեց, մինչ ֆայլը դեռ արդիական է թվում։
Կարդացեք մեկ վկայագիր մեկ անգամ
Պանակով տարածվող նիշը խմբաքանակային միջերես չէ, և այն թաքցնում է, թե որ ֆայլը որ ելքն է տվել։ Կարդացեք մետատվյալները յուրաքանչյուր վկայագրի համար, և չեղարկման կողմը կարդացեք նրա սեփական արտեֆակտից։ OpenSSL x509 տեղեկատուը թվարկում է այն դաշտերը, որ տպում են այդ ընտրանքները։
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Կառավարվող Easy-RSA PKI-ի համար հարցրեք թողարկման շտեմարանին գործիքի աջակցած աշխատահոսքի միջոցով փոխանակ պանակի դասավորություն ենթադրելու, և բնագրերը պահեք միայն ընթերցման, քանի դեռ գույքագրումը հավաքվում է։ Մատյանի ձևաչափը բավական կանոնավոր է, որպեսզի հաշվեք վավեր գրառումները և թվարկեք հետ վերցվածները՝ առանց շտեմարանը ձեռքով բացելու։
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Գույքագրում, որը դիմանում է հաջորդ թողարկմանը
Պանակի մեկանգամյա արտածումը հնանում է հենց հաջորդ վկայագիրը թողարկելու պահին, այնպես որ հաշվետվությունը կառուցեք թողարկման աշխատահոսքից և թույլ տվեք, որ այն թարմացվի որպես սովորական գործունեության մաս։ Դա նաև հաշվետվությունը վերարտադրելի է դարձնում, ինչը կարևոր է, երբ երկու մարդ չեն համաձայնում, թե ինչ է թողարկվել։
Արդյունքն օգտագործեք նորացման և շահագործումից հանելու որոշումների համար, ոչ թե որպես աղյուսակային վարժություն։ Տեղական պատճենը ջնջելը չի վերացնում արդեն գոյություն ունեցող հեռավոր պատճենները։ Հետ վերցրեք ինքնությունը կարգավորված չեղարկման և լիազորման աշխատահոսքով, ապա գրանցեք հետ վերցնելը նրա ամսաթվով։ Ինքնությունը, որն անհետացել է սերվերից, բայց թողարկողը դեռ վստահում է նրան, շահագործումից հանված չէ, և հենց այդ տարբերությունն է բաժանում ճշգրիտ գույքագրումը միայն հանգստացնողից։