OCSP á móti CRL: hvernig hver afturköllunarprófun virkar í raun

Önnur þessara tveggja afturköllunarprófana skilar undirrituðu svari um eitt skírteini, og hin skilar undirrituðum lista sem þú sækir í heild. Báðar eiga að segja sannprófanda hvort skírteini sé enn traust, og báðar bila á vegu sem líkjast alls ekki hvor annarri. Röðin hér að neðan fylgir því sem rekstraraðili lendir í raun í framleiðslu, frá bætunum á leiðinni til gáttar sem hafnar tengingu. Að sleppa þrepi er einmitt leiðin sem uppsetning endar með afturköllunarstefnu sem er aðeins til á pappír.

Þrep 1: Hvað hver prófun skilar og hversu lengi hún helst nothæf

CRL er birt sem eitt undirritað hlutur sem nær yfir hvert skírteini sem útgefandi hefur afturkallað, þannig að sannprófandi sækir hana einu sinni og notar hana aftur þar til nextUpdate listans er liðið. OCSP-svar er þrengra: það svarar fyrir nákvæmlega eitt skírteini og ber thisUpdate, producedAt og venjulega líka nextUpdate. Sá munur stýrir öllu öðru. Skyndiminnið CRL eldist hljóðlega, því skráin er enn þáttuð og undirskrift hennar enn sannprófuð, en útrunnið OCSP-svar er augljóslega verðlaust um leið og þú lest tímastimplana í því.

Skyndiminnið er því fyrsta atriðið sem þarf að festa: hvaða eining heldur afritinu og hvaða hámark það afrit hlýðir. Á gátt ætti hámarkið að vera nextUpdate að frádregnum öryggisbil, aldrei það sem HTTP-skyndiminnishaus býður óvart. openssl crl -in issuer.crl -noout -lastupdate -nextupdate prentar báðar dagsetningar, og listi sem nextUpdate hans er þegar í fortíðinni verður að meðhöndla sem vantaði en ekki bara gamall.

Þrep 2: Hvert skírteinið vísar biðlarans

Laufblaðsskírteinið ber venjulega tvær vísbendingar: CRL dreifipunkt viðbót og færslu um aðgang að upplýsingum yfirvalds fyrir OCSP. openssl x509 -in client.pem -noout -ext crlDistributionPoints prentar þá fyrri, og sú seinni er undir AIA-kaflanum í openssl x509 -in client.pem -noout -text. Hvor viðbótin sem er er bendir, ekki skylda. Biðlari sem útfærir aldrei afturköllunarprófun mun tengjast alveg vel við skírteini sem hefur viðbætur sem nefna svaranda sem hefur verið dauður í eitt ár.

Dreifipunktar nefna oft innri hýsil sem leysist aðeins innan eins netbúts, og sumir eldri biðlarar hafna ldap-slóðum algjörlega. Prófaðu aðgengi frá hýslinum sem endar tunnuna, ekki frá eigin fartölvu, því það er eina sjónarhornið þar sem bilun skiptir raunverulega máli.

Þrep 3: Veldu fail-closed eða fail-open fyrir truflunina

Óaðgengilegur svarandi eða útrunninn listi þvingar ákvörðun: hafna tengingunni, eða samþykkja hana og skrá eyðuna. verify-undirskipun OpenSSL gerir strangt val skýrt, því að bæta -crl_check við breytir óaðgengilegri CRL í unable to get certificate CRL og misheppnaða sannprófun. Mjúk bilun í flestum stöflum er alls ekki fáni heldur fjarvera prófunarinnar, og þess vegna fer hún út fyrir slysni.

Til að sjá hvaða hegðun biðlari hefur í raun, fjarlægðu svarandann og tengdu aftur. Ef tunan fer samt upp, finndu logglínuna sem skráði slepptu prófunina, og spurðu þá hvort einhver myndi lesa þá línu í atviki. Sami söluaðili getur verið mismunandi eftir samskiptareglum: IKEv2-biðlari og OpenVPN-biðlari á sömu vél lesa ótengdar stillingar.

Þrep 4: Sannaðu að prófunin keyri þar sem umferð er leyfð inn

Finndu ferlið sem endar eða heimilar tenginguna, og spurðu það um stillingarlínuna sem virkjar afturköllunarprófun. Gátt sem sannreynir keðjuna en spyr aldrei um afturköllun beitir annarri stefnu en sú í skjölunum þínum, og enginn skjámynd af skírteinakeðju sannar hið gagnstæða. OpenVPN skrifar valkostinn sem crl-verify; strongSwan heldur CRL- og OCSP-leitum undir CA-stillingunni, þar sem crl_uris eða ocsp_uris eru sett. Ef þú getur ekki bent á hvorugt, gerðu ráð fyrir að prófunin vanti.

OCSP-svar gildir aðeins þegar útgefandi CA undirritaði það, eða þegar svarandi sem ber OCSPSigning framlengda lykilnotkun sem sú CA hefur framselt undirritaði það, þannig að svar frá óskyldri þjónustu sannar ekkert. Ef þú rekur svarandann sjálfur skaltu fylgjast með honum sem hörðu háð, því ein dauð þjónusta verður í einu truflun fyrir hvern fail-closed-biðlara.

Þrep 5: Afturkallaðu eitt skírteini viljandi

Taktu prófunarskírteini, afturkallaðu það um sömu rás og framleiðslan notar, og spurðu svarandann beint. openssl ocsp -issuer ca.pem -cert old.pem -url http://ocsp.example.net -resp_text ætti að tilkynna Cert Status: revoked ásamt afturköllunartíma, og svar good þýðir að afturköllunin náði ekki svarandanum sem biðlararnir þínir spyrja. Keyrðu síðan openssl verify -crl_check -CRLfile issuer.crl -CAfile ca.pem old.pem til að sjá sömu ákvörðun um listaleiðina. Lestu ástæðustrenginn í stað útgangskóðans, því að höfnun vegna afturköllunar og keðjuvilla enda bæði í mistökum.

Þrepið sem raunverulega skiptir máli er það síðasta: tengdu aftur með gamla prófílnum gegn raunverulega framfylgdarpunktinum og staðfestu að höfnunin komi frá afturköllun. Tengdu þá aftur með nýju, gildi skírteini til að sanna að þú hafir ekki bara brotið hlustandann. Að eyða prófílnum á biðlaranum sannar ekkert um ákvörðun þjónsins, og vel heppnuð keyrsla openssl verify á vél sem endar aldrei tunu gerir það ekki heldur. RFC 6960 skilgreinir hvað samhæft OCSP-svar inniheldur, þar á meðal stöðugildin sem þetta próf les.