Tapaðir þú biðlara-vottorðinu? Afturkallaðu eftir raðnúmeri, ekki nafni

Vottorðaskrá biðlarans þíns er horfin og viðbragðið er að afturkalla nafnið og gefa út nýtt. Það viðbragð lætur upprunalega vottorðið halda gildi, því afturköllun byggist á raðnúmeri en ekki merkingu. CA geymir næstum örugglega eintak af því sem hún gaf út, og að finna það eintak er allt verkefnið.

Að tapa skrá er ekki að tapa færslu CA

Easy-RSA PKI varðveitir opinberu vottorðin sem hún gaf út, og núverandi útgáfur safna einnig eintökum eftir raðnúmeri í certs_by_serial möppu PKI-sins. Einkalykillinn er ekki nauðsynlegur til að afturkalla neitt. Það sem skiptir máli er nákvæma vottorðið sem CA skrifaði undir, og CA hefur það þegar.

Vinnið á öryggisafriti af réttu PKI, með stjórnandanum sem á það. Afturköllun er rekjanleg aðgerð en ekki viðgerð á framleiðslugagnagrunni um miðnætti.

Eintak af innfelldu opinberu vottorði biðlarans gengur líka, ef uppsetningin geymdi eitt.

Lestu útgefandann og raðnúmerið fyrst

Skoðaðu endurheimta PEM og skrifaðu niður útgefandann, raðnúmerið, viðfangið og gildistímann. Raðnúmerið er einkvæmt innan sviðs eins útgefanda, ekki á milli allra CA í umhverfinu þínu, svo útgefandinn er hluti auðkennisins. Ef mörg vottorð deila viðfangi eru það þessi raðnúmer sem greina þau að.

Berðu gildin saman við færslur CA og við tækið eða manneskjuna sem þú telur hafa vottorðið.

Hægt er að endurnýta algengt nafn, og það er yfirleitt gert. Ekki ákveða hvaða vottorð á að draga til baka fyrr en raðnúmerin eru skrifuð niður.

Hvers vegna afturköllun nýja vottorðsins gerir ekkert

Að gefa út staðgengil með sama algenga nafni býr til annað vottorð með öðru raðnúmeri. Afturköllun staðgengilsins dregur hið nýja til baka og lætur hið upprunalega halda gildi þar til það rennur út. Frá sjónarhóli CA eru þetta tveir óháðir hlutir, og CRL skráir raðnúmer en ekki nöfn. CA-vísitalan heldur einni línu fyrir hvert útgefið vottorð einmitt þess vegna.

Sama ruglingurinn veldur öfugu mistökunum: að eyða skrá biðlarans og gera ráð fyrir að CA hafi gleymt henni. Eyðing hjá biðlaranum er ekki afturköllunaratburður, og vottorðið heldur áfram að virka fyrir hvern þann sem hefur eintak.

Bæði mistökin koma af því að líta á nafnið sem auðkennið.

Afturkallaðu vottorðið sem raðnúmerið nefnir

Greindu hlutinn áður en þú snertir CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates prentar fjögur gildin í einni ferð, og raðnúmerið er það sem þú berð saman við skjalasafn CA. Easy-RSA geymir það safn undir pki/certs_by_serial, með einni skrá fyrir hvert raðnúmer. Afturköllunarskipunin tekur algengt nafn en ekki raðnúmer, svo afritaðu skrána úr safninu í pki/issued/<common-name>.crt og láttu nafnið vísa á hlutinn sem þú greindir. Keyrðu easyrsa revoke <common-name> úr PKI möppunni og athugaðu svo hvort samsvarandi lína í index.txt hafi breyst í R. Raðnúmerið er leiðin til að velja hlutinn, ekki rök sem skipunin tekur við.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Ef index.txt sýnir ekki R, stöðvaðu og lestu villuna áður en þú býrð til CRL, því CRL byggt á færslu sem er enn í gildi dregur ekkert til baka. Aðeins eftir að línan breytist keyrir þú easyrsa gen-crl og heldur áfram að dreifa skránni.

Birtu CRL þar sem það er í raun framfylgt

Búðu til nýtt CRL með studdu vinnuflæði PKI-sins og birtu það svo hjá hverjum sannprófanda sem framfylgir afturköllunum þessa útgefanda.

Uppfærð skrá sem liggur á CA breytir engu, því VPN lýkur ákvörðuninni hjá eigin sannprófanda. Athugaðu útgefanda CRL, gildistíma þess og afturkölluðu raðnúmerin, og staðfestu að þjónustan hleður skránni aftur í stað þess að skyggja þá fyrri. Eignarhald og slóð skipta jafn miklu máli og innihald: CRL sem dæmoninn getur ekki lesið er óaðgreinanlegt frá engu CRL. Valkosturinn crl-verify í OpenVPN nefnir skrána sem dæmoninn les, svo athugaðu þá slóð og eignarhald skrárinnar í stillingum netþjónsins.

Sannprófaðu með raunverulegri tengitilraun, ekki með tímatöflu skrárinnar.

Vitaðu hvenær CRL er rangt tæki

Ef einkalykill útgefandans er ekki lengur traustvekjandi getur afturköllun þekktra raðnúmera ekki hindrað óheimilan handhafa í að skrifa undir ný vottorð. Það er breyting á trausti útgefanda, það er ný CA og dreifingaráætlun, ekki önnur færsla í CRL. Að fyrrverandi stjórnandi hafi haft aðgang er ekki eitt og sér sönnun um misnotkun lykilsins, svo aflaðu staðreyndanna áður en þú endurreisir traustið.

Að breyta útgáfugagnagrunninum handvirkt til að snúa stöðubókstaf er ekki staðgengill fyrir undirritaða afturköllun og lætur CRL ósamræmast færslunum.

Haltu raðnúmerinu, CRL og dreifingarskrefinu í einni athugasemd, og næsta endurskoðun verður lestrækni. Easy-RSA verkefnið skrásetur studdar skipanir fyrir útgáfuna sem þú settir upp, og það er eina viðmótið sem er þess virði að fylgja.