Daftar blokir Nebula: sebarkan, mercusuar tidak akan melakukannya

Penegakan daftar blokir adalah sifat host yang melakukan pemeriksaan, bukan sertifikat yang diperiksa. Mesin yang tidak pernah memuat entri itu terus menerima identitas tersebut, dan tidak ada apa pun dalam jabat tangan yang memperingatkan bahwa dua rekan tidak sepakat. Perbaikan murah dan perbaikan mahal untuk satu kredensial yang terekspos berbeda dalam jangkauan dan dalam kemampuan dikembalikan, jadi pilih dengan sengaja. Bagian berikut membahas apa yang dilakukan entri, ke mana entri harus dikirim, kapan rotasi adalah jawaban yang lebih baik, dan bagaimana membuktikan bahwa salah satunya berhasil.

Apa yang sebenarnya dilakukan entri daftar blokir

Konfigurasi PKI mencantumkan sidik jari yang harus ditolak oleh host meskipun sertifikat ditandatangani secara sah dan belum kedaluwarsa. Penegakan terjadi secara lokal, terhadap daftar yang dimuat host itu saat layanan dimulai. Tidak ada bagian dari entri yang ikut di dalam sertifikat, sehingga rekan tidak dapat mempelajari keputusan dari kredensial yang ditunjukkan kepadanya. Itulah sebabnya mercusuar tidak berperan di sini: mercusuar membantu rekan saling menemukan dan meneruskan lalu lintas ketika jalur langsung gagal. Mereka adalah lapisan penemuan dan penerusan, bukan saluran distribusi konfigurasi.

Memperbarui satu mesin mengubah keputusan mesin itu dan meninggalkan setiap rekan lain persis seperti sebelumnya. Rekan yang memercayai otoritas penandatangan dan tidak pernah melihat entri tidak punya alasan untuk menolak apa pun. Karena itu menguji pencabutan dengan mengamati mercusuar tidak membuktikan apa pun, sebab komponen yang Anda amati tidak pernah diminta menegakkan daftar tersebut.

Identifikasi sertifikatnya, bukan perangkatnya

Gunakan sidik jari kredensial yang ingin Anda tolak, karena nama host, label perangkat, atau alamat saat ini mengidentifikasi mesin hari ini dan sesuatu yang lain bulan depan. Tidak satu pun dari string itu muncul di daftar blokir, dan tidak satu pun bertahan dari pemasangan ulang. Cetak sertifikat, baca sidik jarinya, dan periksa bahwa itu milik kredensial yang akan dipensiunkan, bukan milik penggantinya. Membaca kedua berkas penting ketika pengganti sudah diterbitkan, karena sertifikat lama dan baru dapat berbagi nama dan berbeda di setiap bidang lainnya.

Catat sidik jari mana yang diblokir dan kapan, agar audit berikutnya memisahkan perubahan yang selesai dari yang baru direncanakan. Catat juga apa yang tidak dilakukan entri: entri tidak membatalkan otoritas penandatangan, dan tidak mencegah sertifikat baru dari otoritas itu diterima. Memblokir sertifikat host dan mengganti otoritas yang terganggu adalah operasi berbeda dengan konsekuensi berbeda.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Sebarkan seperti konfigurasi lainnya

Perlakukan daftar sebagai konfigurasi dengan mekanisme pengiriman, bukan sebagai berkas yang seseorang sunting saat ingat. Kirim seluruh daftar, bukan delta, agar host yang melewatkan pembaruan sebelumnya menyesuaikan diri alih-alih menumpuk celah. Dokumentasi PKI Nebula menganjurkan tepat itu, dan sarannya layak diikuti secara harfiah alih-alih diparafrasekan menjadi proses manual.

Pastikan layanan yang berjalan memuat ulang isinya, bukan sekadar bahwa berkas di disk berubah. Lacak mesin mana yang menerapkan perubahan dan pertahankan daftar yang belum selesai tetap terlihat sampai kosong. Laptop yang tertutup seminggu adalah rekan yang tidak pernah mempelajari keputusan itu, dan mungkin tersambung kembali dari jaringan yang tidak diduga siapa pun. Catat metode pengiriman di samping sidik jari, karena pencabutan berikutnya memakainya lagi dan pada yang pertama proses itu di-debug.

Daftar blokir atau rotasi otoritas

Entri daftar blokir bersifat sempit: satu identitas berhenti bekerja dan segalanya berlanjut. Merotasi otoritas penandatangan bersifat luas: setiap sertifikat yang diterbitkannya menjadi tidak tepercaya, dan setiap host memerlukan kredensial baru serta jangkar kepercayaan baru. Yang pertama adalah pencabutan bertarget dan yang kedua adalah migrasi, jadi keduanya memerlukan persetujuan berbeda dan jendela pemeliharaan berbeda. Tabel menempatkan keduanya berdampingan pada jangkauan, usaha, dan kemampuan dikembalikan.

Laptop yang hilang memerlukan daftar blokir, karena radius dampaknya satu identitas dan perubahan dapat dikembalikan jika Anda memblokir sidik jari yang salah. Kunci otoritas yang bocor memerlukan rotasi, karena daftar blokir tidak dapat membantu sertifikat yang belum diterbitkan. Di antara kedua ekstrem itu, tanyakan apakah kredensial yang terekspos dapat menandatangani hal lain, karena otoritas lebih dari satu host.

Tuliskan keputusan sebelum insiden, karena memilih di bawah tekanan cenderung menghasilkan opsi luas secara default. Jalur mana pun yang Anda ambil, item kerja yang tersisa sama: buktikan bahwa penegakan terjadi pada host yang penting. Mencatat sidik jari dan tanggal pada saat itu membuat pembuktian mungkin dilakukan kemudian.

Verifikasi penolakan dan sisanya

Hubungkan dari identitas yang diblokir dan pastikan kegagalannya, lalu hubungkan dari rekan yang diizinkan dan pastikan ia masih mencapai apa yang dibutuhkannya. Perubahan yang memutus semua orang bukan pencabutan yang berhasil. Lakukan keduanya dari sesi baru, karena status yang di-cache dapat menyembunyikan hasilnya.

Periksa apakah sesi yang sudah terjalin berakhir setelah perubahan, dan catat perilakunya untuk versi serta konfigurasi Anda alih-alih menganggap bahwa menyunting berkas mengakhiri apa pun. Opsi disconnect_invalid mencakup klien yang sertifikatnya kedaluwarsa atau tidak valid, jadi pastikan bagaimana penerapannya pada kasus Anda sebelum mengandalkannya. Jika penghentian segera merupakan persyaratan, uji secara khusus dan catat apa yang Anda amati. Lalu ulangi uji setelah mulai ulang, karena host yang menegakkan daftar hanya sampai reboot berikutnya memiliki masalah pengiriman yang disembunyikan uji pertama. Mercusuar yang sehat memberi tahu Anda bahwa penemuan bekerja, bukan bahwa ada rekan yang menerapkan kebijakan.